Recentemente, è emersa una vulnerabilità critica che mette a rischio la sicurezza di oltre 5 milioni di siti WordPress. Il problema riguarda LiteSpeed Cache, un popolare plugin utilizzato per ottimizzare le prestazioni dei siti web, che presenta una falla sfruttabile per ottenere i privilegi di amministratore.
La vulnerabilità, identificata come CVE-2024-28000 con un punteggio di 9,8 su 10 nella scala CVSS, è stata scoperta da esperti di sicurezza di PatchStack e successivamente confermata anche da Wordfence. Questa falla consente a un attaccante non autenticato di sfruttare l’API REST di WordPress per assumere il controllo completo del sito. Il rischio è particolarmente elevato poiché permette di installare e attivare plugin dannosi, compromettendo l’intero sistema.
Il problema principale risiede nel sistema di generazione degli hash utilizzato dal plugin. Questo sistema si basa su un numero casuale, la cui prevedibilità è sorprendentemente alta a causa della dipendenza dal tempo. Con un intervallo di possibilità limitato e l’assenza di misure di sicurezza aggiuntive, come il salting, è possibile prevedere l’hash e ottenere l’accesso amministrativo.
È cruciale per tutti i proprietari di siti che utilizzano LiteSpeed Cache aggiornare immediatamente il plugin all’ultima versione (6.4.1) per proteggere le proprie piattaforme da potenziali attacchi. Sebbene la vulnerabilità non sia sfruttabile su server Windows, è comunque fondamentale non sottovalutare il rischio.
Assicurarsi che il proprio sito sia sempre aggiornato è una delle migliori pratiche di sicurezza per prevenire attacchi che possono avere conseguenze devastanti.
