A maior plataforma usada para publicação de websites, o WordPress, está sob séria vulnerabilidade. A revelação foi feita pela Hostnet. A falha permite que um único computador gere um ataque de DoS (quando um site é derrubado por excesso de acesso) em sites desenvolvidos na plataforma, colocando em risco milhões de páginas em todo o mundo.

De acordo com a W3Techs, empresa especializada em pesquisas sobre a web, o WordPress é usado como plataforma on-line por 29,4% de todos os sites que estão no ar no mundo. Esses portais estão vulneráveis em razão de uma falha “ingênua” no sistema da plataforma. A própria equipe do WordPress reconheceu a falha e argumenta que o problema deva ser tratado no nível do servidor da rede.

A vulnerabilidade, encontrada pelo pesquisador israelense, Barak Tawily, possibilita que se tire proveito de um blocked interno do WordPress, o load-blockeds.php. Esse blocked permite que várias requisições sejam feitas de uma vez só (o chamado ataque DDoS) por qualquer um, sem autenticação. O resultado final disso seria uma completa paralisação de sites e em alguns casos de provedores inteiros.

- Risco para provedores:

Um ataque como esse, do tipo Denial of Service, ou Negação de Serviço (DoS) consiste em causar lentidão ou indisponibilidade em um site na internet. Nesse caso, o site recebe um número imenso de requisições, muito maior do que a sua infraestrutura pode suportar, e o site trava.

- Mitigação:

Em princípio, a lógica seria pensar que a última versão do WordPress lançada no dia 6 de fevereiro (4.9.4) resolveria tudo. Mas não é bem assim, segundo a Hostnet. Na nova versão o blocked pode lidar com requisições que contenham até 40 arquivos em sequência; isso diminui, mas não resolve o problema, um servidor que contenha várias instâncias do WordPress, ou tenha um WordPress configurado para gerenciar vários sites, ainda pode ser vítima desse ataque. Uma vez que o criminoso pode fazer requisições para todas essas instâncias do WordPress, e assim paralisar o servidor da mesma maneira.

De acordo com a Hostnet, a equipe de desenvolvimento do WordPress foi notificada da falha, mas até agora não apresentou uma correção para o problema, ou uma nova versão do Sistema Gerenciador de Conteúdo com a correção implementada.

O pesquisador que descobriu a vulnerabilidade liberou uma correção para ser implementada pelos usuários do WordPress, que está disponível a todos.

A Hostnet informa que seu time teve acesso à correção proposta pelo pesquisador israelense, mas se empenhou na busca de uma solução alternativa, desenvolvida a partir da original, que resolve o problema para qualquer versão do WordPress.

Assim, a Hostnet rodou blockeds para aplicação de um antídoto a esta falha de segurança. Implementando, em todos os seus servidores que contém o WordPress, uma solução eficaz. Todos os clientes da empresa estão totalmente imunes contra possíveis ataques de negação de serviço. A Hostnet informa que está segura. Entretanto, a grande maioria dos sites em WordPress da rede mundial continuam vulneráveis.