Selon des chercheurs en sécurité, des millions de sites WordPress font l'objet d'attaques automatisées qui cherchent à exploiter une vulnérabilité de plugin récemment découverte.
Wordfence, qui produit lui-même un plugin pour la plateforme, a révélé la nouvelle du bug zero-day début septembre. Cela affecte File Manager qui, comme son nom l'indique, est un plugin qui aide les utilisateurs à gérer les fichiers sur leurs sites WordPress.
Le plugin est installé sur environ 700 000 sites WordPress, et bien que Wordfence estime qu'environ 37% seulement, soit 262 0000, exécutent encore une version vulnérable, cela n'a pas empêché les attaquants de tenter leur chance contre un nombre beaucoup plus grand d'utilisateurs.
«Les attaques contre cette vulnérabilité ont considérablement augmenté au cours des derniers jours. Wordfence a enregistré des attaques contre plus d'un million de sites aujourd'hui, le 4 septembre 2020. Les sites n'utilisant pas ce plugin sont toujours sondés par des bots cherchant à identifier et à exploiter des versions vulnérables du plugin File Manager, et nous avons enregistré des attaques contre 1,7 million de sites depuis la vulnérabilité a d'abord été exploitée », a expliqué Ram Gall de Wordfence.
«Bien que Wordfence protège bien plus de trois millions de sites WordPress, ce n'est encore qu'une partie de l'écosystème WordPress. En tant que tel, la véritable ampleur de ces attaques est plus grande que ce que nous avons pu enregistrer. »
La vulnérabilité elle-même pourrait permettre à un utilisateur distant non authentifié d'exécuter des commandes et de télécharger des fichiers malveillants sur un site cible. Gall a donc exhorté les utilisateurs à corriger le problème rapidement en installant la dernière version du plug, v6.9.
«Si vous n'utilisez pas activement le plugin, désinstallez-le complètement», a-t-il ajouté. «En raison de l'étendue des fonctionnalités de gestion de fichiers que ce plugin fournit à un utilisateur dans le tableau de bord wp-admin, nous vous recommandons de désinstaller le plugin lorsqu'il n'est pas utilisé activement.»
Source : Wordfence
