Den 26 januari rullade WordPress ut sin senaste uppdatering, 4.7.2. Tillhör du den fortfarande stora skara av användare som ännu inte orkat eller hunnit uppdatera, bör du verkligen få ändan ur vagnen och göra det så fort du läst klart den här texten. Det som inte var helt officiellt i uppdateringen var nämligen att den innehöll en hemlig fix för en mycket allvarlig sårbarhet i WordPress REST API – som i värsta fall kan ge en angripare full åtkomst till ett offers server genom att installera en dold bakdörr.
Sårbarheten, som upptäcktes av säkerhetsföretaget Sucuri, påverkar WordPress 4.7.0 och 4.7.1 och tillåter en angripare att skapa skadliga HTTP-begäranden, som när de skickas till en WordPress-webbplats gör det möjligt att kringgå autentiseringsmetoder och ändra titeln och innehållet i blogginlägg och statiska sidor.
Eftersom WordPress-teamet befarade att angripare skulle utnyttja sårbarheten så fort de fick vetskap om den, valde man därför att inte lämna ut några som helst detaljer om felet i samband med att uppdateringen släpptes, utan väntade en vecka med att berätta – efter att vad man ansåg vara ”ett stort antal användare” redan hade hunnit uppdatera sina WordPress-installationer.
Värre typ av attack upptäcktes
Men, inte helt oväntat, var det dessvärre många som ändå drabbades. Direkt efter att sårbarheten hade offentliggjorts, började illasinnade hackare attackera WordPress-webbplatser som ännu inte hade uppdaterats – på en vecka gick antalet attackerade sidor från 67 000 till över 2 miljoner. Nu ska vi säga att en stor andel av dessa attacker snarare kan benämnas som ”skadegörelse”, där angripare ändrat information på en sida, ofta genom att likt en klottrare ”tagga” sidan med sitt namn och inte göra mer än så.
Men i förra veckan rapporterade både Sucuri och det konkurrerande säkerhetsföretaget Wordfence (både kraftigt inriktade på säkerhet för just WordPress-plattformen) att sårbarheten även utnyttjades för att skapa förvanskade meddelanden som innehöll en lista med WordPress-shortcodes.Efter en närmare titt på dessa shortcodes, konstaterade Sucuri att dessa var shortcodes i WordPress-plugins som tillät webmasters att inkludera anpassad PHP-kod i textinnehållet på sina sidor – och låta WordPress-motorn köra den specifika koden.
Enklare uttryckt hade angripare hittat ett sätt att skicka sin egen PHP-kod till WordPress-webbplatser via REST API-sårbarheten, som dittills alltså mestadels hade använts för att förändra befintlig text. Genom en specialskriven rad av PHP-kod en kunde en extern PHP-fil bäddas in på offrets sida, för att i ett senare skede hämta och installera PHP-bakdörren FilesMan i mappen WordPress/wp-content/uploads/
På så sätt skulle det därefter räcka för angriparen att ha skickat sin HTTP-begäran till en WordPress-webbplats REST API, för att komma åt den infekterade sidan en gång och sedan få tillgång till bakdörren och ta över offrets underliggande server.
Det bästa sättet att förhindra detta är att givetvis att uppdatera din WordPress-installation till version 4.7.2 så snart som möjligt, eller eventuellt inaktivera alla insticksprogram som tillåter en användare att bädda in och köra PHP-kod. Sucuri meddelar att de flesta upptäckta attacker använder shortcodes som är förknippade med plugins som Exec-PHP och Insert PHP.