Actualización Crítica de WordPress: Fallas RCE y Medidas de Seguridad
WordPress ha activado actualizaciones automáticas forzadas para todas las instalaciones afectadas debido a la gravedad de las vulnerabilidades detectadas recientemente. Esto incluye la versión 7.0.2 y la 6.9.5, las cuales se implementan sin intervención del administrador, salvo que la función de actualizaciones automáticas haya sido deshabilitada manualmente.
Principales Vulnerabilidades Detectadas
Las fallas recientemente identificadas incluyen una confusión de enrutamiento y una inyección SQL que pueden permitir la ejecución remota de código (RCE). Adam Kues es el responsable de la identificación de estas vulnerabilidades, mientras que tres investigadores, conocidos como TF1T, dtro y haongo, han sido reconocidos por haber reportado de manera conjunta una vulnerabilidad SQL aislada.
Medidas Provisionales para Administradores
Si eres administrador de un sitio de WordPress y no puedes actualizar de inmediato, existen medidas temporales que puedes implementar:
- Instala una extensión que bloquee el acceso anónimo a la API REST.
- Configura el firewall de tu aplicación para bloquear las rutas
/wp-json/batch/v1y?rest_route=/batch/v1.
Es importante resaltar que estas medidas son solo soluciones temporales y no sustituyen la necesidad de un ajuste permanente a tu sistema.
Protección Adicional con Cloudflare
Cloudflare ha introducido reglas de firewall específicas que protegen contra estas dos vulnerabilidades. Estas reglas están disponibles incluso para cuentas gratuitas. Su implementación puede reducir la exposición a ataques, aunque se recomienda encarecidamente aplicar el parche correspondiente.
Alcance de la Vulnerabilidad SQL Aislada
La vulnerabilidad SQL aislada afecta a las versiones de WordPress desde la 6.8.0 hasta la 6.8.5, registros anteriores a la aparición de la confusión de enrutamiento en la versión 6.9. WordPress ha solucionado esta debilidad mediante el lanzamiento de la versión 6.8.6 y en la beta de la próxima versión importante, la 7.1, que ya se encuentra en desarrollo.
Conclusión
Ante la gravedad de estas vulnerabilidades, es crucial que todos los administradores de WordPress realicen las actualizaciones pertinentes tan pronto como sea posible. Si bien las medidas temporales pueden ofrecer una protección adicional, no deben ser vista como una solución a largo plazo. Mantener tu instalación de WordPress actualizada es fundamental para garantizar la seguridad y el funcionamiento adecuado de tu sitio web.
About the Author
