ome già successo in precedenza, gli hacker stanno sfruttando una vulnerabilità di alcuni plugin non sicuri: strano a dirsi, si tratta di falle che sono stati rilevati in numerosi plugin molto tempo fa.
I malintenzionati, in pratica, sfruttano il fatto che molti utenti non aggiornano i plugin del proprio sito e li prendono di mira per “iniettare” nei loro WordPress del codice che causa un reindirizzamento automatico verso un sito infetto.
Ecco i componenti aggiuintivi che sono stati attaccati:
- Blog Designer
- Easy2Map
- Total Donations
- WP GDPR Compliance
- Ad essi si aggiung il tema Newspaper
Cosa fare? Se hai installato uno di questi plugin, aggiornalo al più presto, oppure disinstallalo. Ricorda di aggiornare sempre WordPress, il tuo tema e tutti i plugin.
2 risposte a “900.000 siti in WordPress sono finiti sotto attacco”
Ciao Enza, intanto complimenti per le utilissime istruzioni. Fortunatamente WordPress è e rimarrà l’ambiente di sviluppo più robusto tra quelli con le maggiori potenzialità di innovare sul serio, secondo la mia esperienza queste cose possono capitare senza i dovuti accorgimenti, purtroppo gli “hacker” (meglio dire “cracker”) lavorano sempre… Ma se posso aggiungere le istruzioni di un caro amico programmatore spagnolo molto navigato nell’ambiente WordPress, bisogna guardare anche la periodicità degli aggiornamenti dei singoli plugin da parte dei relativi sviluppatori (ad esempio se sono già due/tre mesi che un plugin non risulta aggiornato bisogna cominciare a riflettere se ve ne siano altri ufficializzati dal Team d’eccellenza che sta dietro a WordPress e che abbia magari le stesse funzionalità, ma che siano però più “presidiati” e aggiornati dai propri sviluppatori, soprattutto a livello di sicurezza. In linea generale dobbiamo un po’ divulgare almeno che bisogna aspettare sempre che ogni plugin sia dichiarato 100% compatibile con l’ultima versione di WordPress prima di effettuare l’aggiornamento. La garanzia del 100% di compatibilità con l’ultima versione di WordPress è estremamente importante e anche semplice da capire, ma molti webmaster purtroppo non istruiscono bene i loro clienti o ignorano o sottovalutano il fatto che questo 100% ormai sia diventato uno standard generale e globale da rispettare senza se e senza ma, pena sito infettato, pieno di parassiti e spesso inutilizzabile dai clienti, con inevitabili seccature conseguenti come perdita dei dati, spam e ransomware al contrario, ovvero il sito preso di mira che va a spargere come un bot spam nelle email e nei computers dei clienti…. etc etc etc… Un’altra regola semplice, affidarsi a programmatori seri che abbiano almeno un’esperienza decennale con WordPress e sappiano creare plugin da zero, capire come sono stati scritti e che sappiano magari modificarli in piena sicurezza adattandoli alle esigenze dei clienti. WordPress è un vero dono di Dio nel mondo open source, soprattutto per gli imprenditori decisi ad innovare e sperimentare con il web, ma va utilizzato bene, rispettando poche regole, semplici, ed affidandosi soltanto a sviluppatori e webmaster professionisti. A proposito di security, altro sistema bullet-proof che aumenta esponenzialmente la sicurezza: il plugin wordfence, l’ho potuto testare molto tempo e già nella versione gratuita è semplicemente fantastico oltre a garantire un ulteriore strato di sicurezza anche a chi è alle prime armi con WordPress. Ciriciao! 😉
Ciriciao Vic 😉
Tutto ciò che dici è giustissimo! È importantissimo fare gli aggiornamenti con molto criterio, è giusto attendere che la compatibilità si dichiarata, ma dipende dai casi: a volte capita ad esempio che una nuova versione di un plugin sia rilasciata dagli sviluppatori per tappare qualche falla molto grave. In questo caso è importantissimo aggiornare MOLTO in fretta 🙂
In tutti gli altri casi sempre meglio attendere qualche giorno prima di fare l’aggiornamento: se il plugin è molto seguito, la community sarà prontissima a segnalare eventuali bug nell’aggiornamento e quindi potrai attendere la successiva patch ed installare quella.
Personalmente raccomando a chi muove i primi passo con WordPress di utilizzare pochi plugin e molto famosi (ne parlo anche nel mio videocorso gratuito https://www.enzalafrazia.it/video-corso-wordpress-gratis/). Prima di ogni upgrade bisogna sempre fare backup per poter eventualmente tornare indietro se l’aggiornamento creasse “disastri” 😉
Per chi si affida ai miei servizi, invece, di solito creo funzioni personalizzate e plugin ad hoc. Spesso in questi casi è meglio fare qualsiasi aggiornamento in un abiente “protetto” e me ne occupo personalmente, testando il risultato e seguendo le community WP per i dati sulla sicurezza, sulle nuove release e sui bug che potrebbero presentarsi.
Un saluto!