Vulnerabilidades estão vindo dos plug-ins do CMS
Os sistemas de gerenciamento de conteúdo estão no foco dos criminosos cibernéticos devido à disponibilidade de plug-ins, temas e extensões de grandes superfícies de ataque. As notícias dos últimos meses revelaram um aumento do número de vulnerabilidades e ataques aos sistemas de gerenciamento de conteúdo mais populares. Sendo a mais popular dessas plataformas, os sites rodando no WordPress receberam o maior número de ataques – em média 24 % mais do que o resto dos sites executados em outras plataformas CMS. Os pesquisadores de malware afirmam que isso é normal, já que mais de 75 milhões de sites estão sendo executados no WordPress, comparado ao Drupal com apenas um pouco mais 1 milhões de sites. Os ataques, no entanto, não significam que o WordPress seja menos seguro, apenas que é o sistema de gerenciamento de conteúdo mais popular.
Todas as plataformas conhecidas, Incluindo WordPress, Drupal e Joomla foram sujeitos a várias falhas, onde a maioria deles vem de plug-ins de terceiros usados para personalização do site e não do código.
Os desenvolvedores do Automatic que está guardando a base de código do WordPress são altamente elogiados pelos especialistas em segurança. O pesquisador independente Ryan Dewhurst lançou recentemente o banco de dados de vulnerabilidades WPScan. Apresenta as vulnerabilidades do WordPress que ele coletou ao longo dos anos. Apesar dessas falhas, o testador tem uma opinião muito positiva sobre a equipe de desenvolvimento do Word Press e acha que essa equipe está fazendo todo o possível para desenvolver um software seguro e sem falhas no código.
De acordo com o especialista em TI Ryan Dewhurst, as vulnerabilidades graves vêm dos plug-ins e dos temas, que são escritos por desenvolvedores de terceiros, que não têm experiência na área de segurança. A superfície dos ataques também é bastante grande. Os desenvolvedores automáticos afirmam que a comunidade WordPress tem mais de 33 000 diferentes plug-ins e outros em andamento. Ainda, não é só o WordPress que tem problemas com os plug-ins. Essas falhas são um problema geral para as outras plataformas CMS também.
50 000 sites invadidos via plug-in MailPoet Newsletters para WordPress
Os principais frameworks de CMS são caracterizados por um código aberto e são extensíveis, então as pessoas decidem adicionar módulos, extensões e plug-ins. Naturalmente, este grande número de plug-ins é muito difícil de controlar pois são escritos por muitas pessoas diferentes de várias origens. Por tudo isso, os relatórios de vulnerabilidade relativos às estruturas CMS são abundantes em hacks maliciosos e provas de conceito. No verão de 2014, mais que 50 000 sites foram invadidos por causa da vulnerabilidade encontrada no plug-in MailPoet Newsletters para WordPress. Em setembro 2014 mais que 60 000 sites foram afetados pela vulnerabilidade de script encontrada no Mollum – o módulo de moderação de conteúdo para Drupal. Durante o mesmo mês também foi encontrada uma vulnerabilidade na extensão do Joomla VirtueMart que poderia dar aos invasores controle total de um site e banco de dados afetado.
O CEO da High-Tech Bridge Ilia Kolochenko diz que a dificuldade vem com o fato de que os plug-ins não puderam ser evitados. Isso ocorre porque os proprietários de sites sempre procurarão recursos personalizados específicos em seus sites que o CMS comum não pode oferecer. Naturalmente, as principais plataformas de CMS também sofrem com novas vulnerabilidades, mas estes são apenas uma minoria em comparação com o resto dos ataques e são bastante fáceis de explorar. Os especialistas e pesquisadores de TI dizem que as empresas não devem ser tão vigilantes na atualização de seus frameworks de CMS. Eles também devem trabalhar com plug-ins criados por grandes empresas de desenvolvimento.
