Hackers atacan extension social de WordPress

El plugin Symposium facilita la activación de una puerta trasera de PHP.

Hackers desconocidos están atacando el plug-in de redes sociales WP Symposium para la plataforma de publicación de contenidos WordPress, según la firma de seguridad Trustwave.

Mediante trampas, o “honeypots”, controlados por la empresa, ha sido posible detectar intentos de explotación iniciados después de darse a conocer públicamente la vulnerabilidad, a mediados de diciembre. Específicamente, los atacantes aprovechan una función que permite subir archivos a un sitio web sin que se apliquen mayores restricciones.

En un ejemplo revelado por Trustwave, los hackers subieron un archivo PHP con un código de puerta trasera que permite a los atacantes enviar comandos HTTP maliciosos.

David Dede, un investigador de seguridad de SucuriLabs, dijo: “Este es el tipo de hallazgos que nos mantiene despiertos hasta avanzada la madrugada, y por eso estamos invirtiendo mucho en nuestras auditorías de rutina”. Dede dijo que el caso de Symposium constituye “un ejemplo clásico” de lo que los hackers pueden hacer con un sitio web, añadiendo que la situación obliga a los administradores de sitios a preguntarse qué están haciendo para mitigar esas amenazas.

Los datos recogidos por SucuriLabs indican que después de la divulgación pública del fallo, realizada el 11 de diciembre, las búsquedas de WP Simposio llegaron a las 4.000 diarias.

Según el directorio oficial de WordPress, el plug-in ha sido descargado más de 150.000 veces.