WordPress e i plugin infetti

WordPress è di nuovo sotto attacco, anche se questa volta non si tratta di un assalto frontale al sito principale della società bensì di un'operazione ben orchestrata a danno di tre popolari plugin ospitati sul repository di WordPress.org . I suddetti plugin sono stati compromessi dall'installazione surrettizia di una backdoor, dice la società statunitense, con conseguenze potenzialmente molto estese per chi si trovasse ad adoperare i componenti aggiuntivi nel proprio blog basato sul CMS WordPress.

I plugin infetti sono AddThis, WPtouch and W3 Total Cache: i cyber-criminali sono riusciti a compromettere gli account dei rispettivi sviluppatori e a camuffare in maniera molto efficace il codice della backdoor , permettendo alla minaccia di passare indisturbata i controlli sul codice presente su WP.org e finire dritta sui server esterni usati dai blogger.

Le indagini sin qui condotte sulla faccenda fanno escludere la responsabilità diretta degli sviluppatori dei plugin infetti, mentre lo staff di WP.org è tuttora alla caccia di altri account eventualmente compromessi e usati per iniettare ulteriore codice malevolo nei plugin più scaricati e usati.

In conseguenza dell'attacco il team WP ha provveduto a resettare tutte le password utili ad accedere alle piattaforme WordPress.org, bbPress.org e BuddyPress.org, una mossa che tra le altre cose coinvolge circa due milioni di sviluppatori dotati di credenziali di accesso a WP.org. I plugin infetti sono stati ovviamente eliminati dai server, e un nuovo aggiornamento – in pratica un rollback alla versione precedente dei componenti – è stato attivato per i blogger affetti dal problema.

Alfonso Maruccia