WordPress ha annunciato una nuova misura di sicurezza per gli account, che richiederà obbligatoriamente l’attivazione dell’autenticazione a due fattori (2FA) per gli account con la capacità di aggiornare plugin e temi.
Questa contromisura che ha deciso di prendere WordPress è molto probabilmente dovuta a recenti falle di sicurezza che si sono poi rivelati dannose dell’utenza, spesso sfruttando vulnerabilità dei plugin: il caso LiteSpeed Cache è estremamente emblematico.
L’applicazione di questa misura è prevista a partire dal 1º ottobre 2024.
WordPress e la sua nuova contromisura con 2FA per proteggere gli account
“Gli account con accesso ai commit possono inviare aggiornamenti e modifiche a plugin e temi utilizzati da milioni di siti WordPress in tutto il mondo“, hanno dichiarato i manutentori della versione open-source e self-hosted del sistema di gestione dei contenuti (CMS), che hanno poi aggiunto a riguardo: “Proteggere questi account è essenziale per prevenire accessi non autorizzati e mantenere la sicurezza e la fiducia della comunità di WordPress.org.“
Un’ulteriore contromisura per impedire i furti di account
Oltre a rendere obbligatoria l’autenticazione a due fattori, WordPress.org ha annunciato l’introduzione delle cosiddette password SVN, cioè password dedicate per l’invio di modifiche.
Questo, hanno spiegato, è un tentativo di introdurre un nuovo livello di sicurezza separando l’accesso ai commit del codice dalle credenziali dell’account WordPress.org degli utenti.
“Questa password funziona come una password per un’applicazione o un ulteriore account utente“, ha spiegato il team. “Protegge la tua password principale da eventuali esposizioni e ti consente di revocare facilmente l’accesso SVN senza dover cambiare le credenziali del tuo account WordPress.org.”
WordPress.org ha inoltre notato che limitazioni tecniche hanno impedito l’applicazione della 2FA ai repository di codice esistenti, motivo per cui è stata scelta una “combinazione di autenticazione a due fattori a livello di account, password SVN ad alta entropia e altre funzionalità di sicurezza al momento del rilascio (come le Conferme di Rilascio).”
In sintesi, saranno introdotte due password distinte: una per l’accesso tradizionale e una specifica per l’invio di modifiche.
Le ragioni dietro questa contromisura della piattaforma per creare siti e blog
Queste misure sono considerate una contromisura per prevenire scenari in cui un criminale informatico (o un gruppo di criminali informatici) potrebbe prendere il controllo dell’account di un editore, introducendo codice dannoso in plugin e temi legittimi, causando attacchi su vasta scala alla supply chain (o catena di approvigionamento, qual dir si voglia).
L’annuncio arriva mentre Sucuri ha avvertito delle campagne ClearFake in corso, che prendono di mira i siti WordPress con l’obiettivo di distribuire un infostealer chiamato RedLine, inducendo i visitatori del sito a eseguire manualmente del codice PowerShell per risolvere un problema di visualizzazione della pagina web.
Sono stati inoltre osservati alcuni criminali informatici sfruttare siti di e-commerce basati su PrestaShop infetti per distribuire un sistema di skimming delle carte di credito e sottrarre informazioni finanziarie inserite nelle pagine di checkout.
“Il software obsoleto è un obiettivo primario per gli attaccanti che sfruttano le vulnerabilità nei vecchi plugin e temi“, ha dichiarato il ricercatore di sicurezza Ben Martin. “Password amministrative deboli sono una porta d’ingresso per gli attaccanti.”
Si raccomanda agli utenti di mantenere aggiornati i propri plugin e temi, implementare un firewall per applicazioni web (WAF), rivedere periodicamente gli account amministrativi e monitorare eventuali modifiche non autorizzate ai file del sito; fermo restando che in molti casi (soprattutto quelli professionali) usare già l’autenticazione in due fattori (2FA) dovrebbe essere oramai uno standard per quasi chiunque.
WordPress e il potere dell’open source
Una delle motivazioni per il quale la piattaforma WordPress riesce a risolvere le problematiche di questo tipo è proprio la sua natura open source; questo permette agli esperti, non appena si verifica un problema, di risolverlo praticamente in tempo reale o quasi.
Questo è molto importante per il futuro digitale sulla piattaforma e fa notare in primo come molto spesso l’uso di credenziali molto forti sia spesso un fattore sottovalutato, ma anche che l’Open Source in un prossimo futuro potrebbe divenire molto più parte della vita quotidiana digitale di quanto non lo sia già.
