La scoperta di una vulnerabilità in questo popolare plugin WordPress è una notizia preoccupante per moltissimi siti che usano WooCommerce.
È stata rilevata una vulnerabilità estremamente rischiosa nel plugin WooCommerce Payments. Il grande pericolo per la sicurezza di tutti i siti web che utilizzano questo plugin è la possibilità che gli hacker riescano, senza bisogno di effettuare alcuna autenticazione, ad accedere a tutte le funzioni di un utente con ruolo Amministratore.
Per fortuna, gli sviluppatori del plugin hanno risposto prontamente al problema, rilasciando immediatamente una patch. Le versioni vulnerabili di WooCommerce Payments sono quelle dalla 4.8.0 alla 5.6.1. Perciò, la prima cosa da fare immediatamente è aggiornare il plugin alla versione 5.6.2. Questo è uno di quei casi in cui un piano hosting WordPress Gestito è in grado di garantire la massima sicurezza possibile per il tuo sito, dato che gli aggiornamenti verranno effettuati automaticamente e sotto il controllo dei tecnici dell’hosting.
È consigliato anche fare un’ulteriore verifica: controlla gli utenti all’interno della tua Bacheca WordPress dalla sezione Utenti > Tutti gli utenti. Assicurati che non compaiano nuovi utenti “indesiderati”, in particolare quelli con il ruolo di Amministratore.
Come mettere in sicurezza il tuo sito WordPress contro la vulnerabilità di WooCommerce Payments
Per risolvere il problema, gli sviluppatori di WooCommerce Payments sono intervenuti tempestivamente, con la totale rimozione del file in cui era presente il codice che causava la vulnerabilità, come dichiarato sull’account Twitter ufficiale di WooCommerce. Trovi maggiori dettagli sul blog developers.woocommerce.com.
Il problema di sicurezza del plugin è stato scoperto da Michael Mazzolini di GoldNetwork, “white hat hacker” che conduceva un test insieme all’azienda per la sicurezza informatica HackerOne, proprio per aiutare WooCommerce a individuare potenziali rischi. I white hat hacker (chiamati anche “hacker etici”) hanno infatti il compito di simulare dei veri e propri attacchi, con lo scopo di individuare problemi di sicurezza delle aziende e aiutarle a risolverli.
Immediatamente, è stata avviata un’indagine per scoprire se ci fosse stato un furto di dati legato a questa vulnerabilità e, al momento, alcuni utenti hanno segnalato dei potenziali attacchi al proprio sito WordPress. Il team di sicurezza sta analizzando a fondo la situazione e rilascerà immediatamente degli avvisi se dovessero esserci novità. Noi vi terremo aggiornati.
