Suporte Técnico
Documentação
Entrar
Entre em contato conosco
Vá direto para um resumo gerado por IA desta postagem do blog 
- Imagine entregar o controle do seu site a alguém em quem você não confia — esse é o risco das vulnerabilidades de RCE no WordPress.
- Os invasores podem alterar o conteúdo do site, inserir conteúdo indesejado e disseminar malware, infectando os visitantes do site.
- Para evitar erros, é fundamental garantir que todos os seus plugins e temas sejam compatíveis com a nova versão do PHP antes de fazer a atualização.
O WordPress é um popular sistema de gerenciamento de conteúdo (CMS) que alimenta mais de 40% da internet. É conhecido por sua flexibilidade e pelo extenso ecossistema de plugins. No entanto, esses plugins, embora adicionem funcionalidades, podem introduzir vulnerabilidades de segurança. Essas vulnerabilidades podem surgir devido a erros de codificação, bibliotecas desatualizadas ou falta de manutenção adequada. Compreender as vulnerabilidades dos plugins do WordPress, os riscos associados e os desafios da atualização dos plugins é fundamental para manter um site WordPress seguro.
Neste artigo, exploraremos as vulnerabilidades de execução remota de código (RCE) em plugins do WordPress que permitem que invasores injetem e executem remotamente código malicioso em seu site.
Riscos de segurança decorrentes de vulnerabilidades de RCE no WordPress
Invasão completa do site: Execução remota de código permite que invasores executem qualquer comando no servidor, assumindo potencialmente o controle total do site. Isso significa que eles podem alterar o conteúdo, instalar malware, redirecionar visitantes para sites maliciosos ou até mesmo fazer com que você perca o controle sobre o site.
Roubo de dados: Os invasores podem acessar e roubar informações confidenciais armazenadas no seu site, como dados de clientes, credenciais de login ou registros financeiros.
Alteração indevida de sites: Com o controle do servidor, os invasores podem modificar o conteúdo do site e exibir suas próprias mensagens.
Spam de SEO: Os hackers costumam inserir conteúdo e links indesejáveis em sites vulneráveis, prejudicando a classificação do site nos mecanismos de busca e sua credibilidade.
Distribuição de malware: Sites comprometidos também são usados para espalhar malware e infectar os visitantes do site.
Vulnerabilidades críticas de RCE em plugins populares do WordPress
Falha de RCE na migração de backup
Uma vulnerabilidade crítica (CVE-2023-6553) foi identificada em um popular plugin de backup para WordPress chamado Backup Migration, que possui mais de 80.000 instalações ativas. A exploração dessa vulnerabilidade permite que invasores assumam controle total dos sites. Todas as versões do plugin até a 1.3.7 estão vulneráveis. Foi lançada uma atualização (versão 1.3.8) que corrige esse problema, e recomenda-se que os usuários do Backup Migration atualizem para a versão mais recente imediatamente.
Falha no Bricks Builder RCE
Existe uma vulnerabilidade crítica (CVE-2024-25600) no Bricks Builder, um popular plugin de criação de páginas (com cerca de 25.000 instalações ativas), que permite que hackers assumam o controle total de sites. Essa vulnerabilidade foi descoberta em fevereiro de 2024 e uma correção (versão 1.9.6.1) foi lançada logo em seguida. Embora não tenham sido confirmados ataques, recomenda-se enfaticamente que os usuários atualizem para a versão mais recente (1.9.6.1) imediatamente para evitar serem hackeados.
Vulnerabilidades do PHP Everywhere no WordPress
O PHP Everywhere é um plugin popular que permite aos usuários inserir código PHP personalizado na barra lateral, em páginas e em posts em sites do WordPress. O plugin é utilizado em mais de 20.000 sites e foi identificado com três vulnerabilidades de execução remota de código que podem ser exploradas por invasores.
A vulnerabilidade mais grave (CVE-2022-24663) permite que qualquer pessoa capaz de se cadastrar em um site (assinantes) injete código malicioso e, potencialmente, assuma o controle de todo o site.
As outras duas vulnerabilidades (CVE-2022-24664 e CVE-2022-24665) exigem mais privilégios de acesso (nível de colaborador), mas ainda assim podem ser perigosas.
Essas vulnerabilidades foram corrigidas na versão 3.0.0 do plugin, lançada em janeiro de 2022. No entanto, muitos usuários ainda não fizeram a atualização e continuam em risco. Se você usa o PHP Everywhere, atualize para a versão 3.0.0 imediatamente. Além disso, a versão 3.0.0 removeu o suporte ao Editor Clássico; portanto, se o seu site usa o Editor Clássico, você precisará encontrar uma solução alternativa.
Mas um grande motivo de preocupação é que esse plugin foi removido definitivamente do WordPress a pedido do autor. No entanto, os sites do WordPress que têm esse plugin instalado ainda podem utilizá-lo. Contudo, é melhor procurar outro plugin semelhante, pois não haverá mais atualizações disponíveis, incluindo correções de segurança.
Como mitigar vulnerabilidades de RCE no WordPress
Atualizações regulares: Mantenha sempre todos os plugins, temas e o núcleo do WordPress atualizados para as versões mais recentes, a fim de corrigir vulnerabilidades conhecidas.
Uploads seguros de arquivos: Utilize métodos seguros para o envio de arquivos, incluindo a validação dos tipos de arquivo e o uso de diretórios dedicados com permissões restritas.
Firewalls de Aplicações Web (WAF): Aplique um WAF para filtrar e bloquear solicitações maliciosas antes que elas cheguem ao aplicativo WordPress.
Plug-ins de segurança: Implemente plug-ins de segurança que ofereçam recursos como verificação de malware, proteção por firewall e monitoramento em tempo real. Serviços como Wordfence, Sucuri ou Jetpack podem ajudar no monitoramento e na proteção do seu site.
Princípio do privilégio mínimo: Implemente o princípio do privilégio mínimo, garantindo que os usuários tenham as permissões mínimas necessárias para realizar suas tarefas, limitando assim os danos potenciais decorrentes de uma exploração de vulnerabilidade.
Além disso, você pode seguir estas práticas recomendadas de segurança:
Limite o uso de plugins: Minimize o número de plugins para reduzir possíveis vetores de ataque. Desative e exclua todos os plugins que não estejam em uso ativo.
Faça backups regularmente: Faça backups regulares do seu site para restaurar rapidamente a funcionalidade em caso de um ataque bem-sucedido.
Problemas e desafios relacionados à atualização
Embora as atualizações de plugins corrijam vulnerabilidades em sites do WordPress, às vezes elas podem causar problemas de compatibilidade com outros plugins, temas ou até mesmo com o núcleo do WordPress, levando a mau funcionamento ou falhas no site. Outro motivo pode ser o plugin deixar de oferecer suporte à versão do PHP usada no seu servidor. À medida que o PHP evolui, as versões mais recentes trazem melhorias, e as versões mais antigas deixam de receber manutenção. Para acompanhar as versões mais recentes do PHP, os plugins, temas e o próprio WordPress lançam atualizações constantemente e, aos poucos, deixam de oferecer suporte a versões desatualizadas do PHP.
Por exemplo, o PHP 7.4 não terá mais suporte pela equipe de desenvolvimento do PHP a partir de 28 de novembro de 2022. Qualquer site WordPress rodando no servidor PHP 7.4 fica altamente vulnerável devido à falta de atualizações de segurança. Embora o WordPress ainda ofereça suporte ao PHP 7.4, ele exibe a mensagem “Atualização do PHP necessária” e recomenda que os usuários atualizem o PHP no WordPress para manter a segurança do site. As versões do PHP atualmente suportadas são PHP 8.1, 8.2 e 8.3, e o WordPress já incluiu suporte beta para todas elas.
No entanto, se você atualizar a versão do PHP do WordPress para 8.x e seus plugins e temas não forem compatíveis com o PHP 8.x, poderá enfrentar problemas de compatibilidade que podem levar a falhas de funcionamento ou travamentos do site. Esses problemas podem se manifestar na forma de mensagens de erro, funcionalidades com defeito ou até mesmo um site totalmente inacessível.
Para evitar esses problemas, é fundamental garantir que todos os seus plugins e temas sejam compatíveis com o PHP 8.x antes de fazer a atualização. Você pode fazer isso verificando se há atualizações disponibilizadas pelos desenvolvedores ou testando a nova versão do PHP primeiro em um ambiente de teste. Alguns desenvolvedores de plugins podem abandonar seus projetos, deixando-os vulneráveis e sem atualizações futuras.
Protegendo versões desatualizadas do PHP no WordPress
Caso seus temas e plugins não sejam compatíveis com as versões do PHP 8.x, você pode utilizar o Suporte de Ciclo de Vida Estendido (ELS) da TuxCare para PHP para manter a segurança do site. O ELS para PHP oferece patches de segurança para versões mais antigas do PHP que não têm mais suporte oficial. Isso permite que você continue usando o PHP existente no WordPress com segurança, ao mesmo tempo em que dá a você e aos desenvolvedores de seus temas e plugins tempo suficiente para atualizar o código e garantir a compatibilidade com o PHP 8.x. Além disso, ajuda a reduzir os riscos associados a softwares de servidor desatualizados, incluindo possíveis vulnerabilidades do Apache.
Considerações finais
Vulnerabilidades em temas e plugins do WordPress podem ser exploradas por invasores para obter acesso não autorizado ao seu site, roubar dados ou injetar código malicioso. Assim como pacotes desatualizados podem levar a vulnerabilidades após o fim do suporte (EOL) do Node.js, depender de versões de PHP sem suporte aumenta os riscos de segurança no WordPress. Mantê-los atualizados é fundamental para a segurança, mas nem sempre é um processo tranquilo. As atualizações podem introduzir bugs que prejudicam o funcionamento do seu site, exigindo soluções de problemas e verificações de compatibilidade.
A atualização de uma versão mais antiga do PHP para o PHP 8.x geralmente exige uma reescrita massiva do código. Esse pode ser um processo complexo e demorado. O Suporte de Ciclo de Vida Estendido (ELS) para PHP da TuxCare permite que você continue usando versões mais antigas do PHP por mais tempo e mantenha seu código e suas funcionalidades existentes sem se preocupar com riscos de segurança.
Assim como no ecossistema do Node.js, onde pacotes desatualizados podem levar a vulnerabilidades críticas no Node.js, utilizar versões do PHP sem suporte no WordPress aumenta a exposição do seu site a ataques. Medidas proativas de segurança, como o uso do ELS ou a manutenção de um ciclo de atualizações seguro, são essenciais para ambos os ambientes.
Envie suas perguntas para um especialista em segurança da TuxCare para saber como começar a usar o PHP ELS da TuxCare.
