Il rapporto annuale 2022 sulla vulnerabilità di WordPress

Il core di WordPress è solido: ciò che installi potrebbe non esserlo.

Quanto è sicuro WordPress? In un contesto di attacchi informatici globali in costante aumento e criminalità informatica sofisticata che prende di mira più della metà di tutte le piccole e medie imprese (PMI) del Nord America, la quota di mercato CMS globale dominante di WordPress (60% +) presenta un'ampia superficie di attacco per hacker e criminali informatici i cui strumenti ora includono l'intelligenza artificiale e l'apprendimento automatico. Ogni anno il numero di nuove vulnerabilità aumenta nell'ecosistema WordPress e il 2022 non ha fatto eccezione. Cosa abbiamo imparato dai dati questa volta?

Cosa conta come vulnerabilità?

Prima di tutto, è importante capire come vengono valutate le vulnerabilità del software.

Le vulnerabilità non sono exploit. Sono superfici di attacco teoricamente sfruttabili, ma senza un exploit attivo o un proof of concept funzionante, spesso non è chiaro se rappresentino un rischio significativo. Gli analisti della sicurezza utilizzano spesso il Common Vulnerability Scoring System (CVSS) per valutare le vulnerabilità su una scala da 0 a 10 che ne indica la gravità. Questi punteggi variano all'interno del settore tecnologico perché il potenziale impatto di una particolare vulnerabilità non può essere generalizzato. Una vulnerabilità è più o meno grave nel suo potenziale impatto su particolari sistemi, servizi o prodotti. Seguiamo il punteggio di WPScan che è allineato con la piattaforma e l'ecosistema WordPress.

Utilizziamo anche il monitoraggio delle vulnerabilità e la valutazione dei rischi di WPScan per produrre il nostro report settimanale sulle vulnerabilità. Per il 2022 il database WPScan ha registrato 23 vulnerabilità per il core di WordPress. Altri analisti della sicurezza possono avere una visione più ampia o più ristretta di ciò che conta come vulnerabilità.

Ad esempio, il database delle vulnerabilità di Patchstack per WordPress include 27 vulnerabilità principali per il 2022 e ne hanno verificate 15 come sfruttabili. Al contrario, solo 9 vulnerabilità principali sono state segnalate al MITRE e registrate nel National Vulnerability Database con un identificatore comune di vulnerabilità ed esposizione (CVE). I dettagli di un CVE, come il suo livello di gravità, possono essere rivisti nel tempo. Un CVE può anche essere cancellato. Insolitamente, nel 2022 un CVE di WordPress core aggiuntivo è stato respinto come falso positivo.

La sicurezza di base di WordPress è solida.

Fortunatamente, le vulnerabilità emerse nel core di WordPress nel 2022 sono state scoperte e risolte rapidamente dai membri del team di sicurezza di WordPress e da altri ricercatori che le stavano cercando in modo proattivo. I loro diligenti sforzi hanno portato a quattro versioni di sicurezza di WordPress nel 2022 che hanno corretto 20-30 potenziali vulnerabilità, a seconda di come sono classificate. La versione di sicurezza di WordPress 6.0.3 ha corretto 16 di questi in una volta sola.

Di queste potenziali vulnerabilità, nessuna rappresentava un rischio immediato per gli utenti di WordPress. Ciò è vero anche per l'unica vulnerabilità rimasta senza patch nel core emersa a metà dicembre, quando i ricercatori di sicurezza hanno pubblicizzato un problema noto con la funzione pingback di WordPress. Potrebbe essere in lavorazione una patch per una futura versione di sicurezza o di manutenzione, ma non vi è alcun motivo immediato di preoccupazione. Per essere sfruttata, dovrebbe essere sfruttata anche una seconda vulnerabilità e dovrebbe essere compromesso anche il servizio DNS del sito preso di mira, in genere un host o un registrar di domini. Questa condizione rara ed estrema sarebbe molto dannosa di per sé.

Abbiamo fornito ulteriori dettagli e indicazioni sull'eliminazione di questa vulnerabilità disattivando XML-RPC. Questa è sempre una buona idea se non la usi.

Il 2% dei plugin di WordPress è responsabile del 99% delle vulnerabilità.

Nei dati sulle vulnerabilità del 2022 che presentiamo qui, 23 vulnerabilità principali rappresentano l'1% del numero totale di vulnerabilità che abbiamo monitorato (1.779) nel 2022. Ciò significa che plugin e temi sono responsabili del 99% (1.756) di tutte le vulnerabilità. Ciò è coerente con lo scorso anno, quando abbiamo monitorato 1.628 vulnerabilità, il 98% delle quali era collegato a plug-in.

Questa non è del tutto una cosa negativa, tuttavia. In effetti, non vorremmo vedere molte più vulnerabilità nei core o nei temi. I plugin sono la superficie di attacco più grande e attraente nell'ecosistema WordPress, ma la stragrande maggioranza di essi non è associata a una vulnerabilità divulgata pubblicamente in un dato anno.

Per il contesto, il numero di singoli plugin e temi che hanno subito una vulnerabilità settimana per settimana nel 2022 (1.425) rappresenta circa il 2% del pool totale di oltre 70.000 disponibile su wordpress.org. Naturalmente, non tutti i plugin e i temi di WordPress sono ospitati lì, ma la stragrande maggioranza lo è. Nell'universo totale dei componenti aggiuntivi di WordPress, possiamo affermare che meno del 2% di essi ha introdotto il 99% delle vulnerabilità monitorate nel 2022.

Guardando al futuro, questa è una statistica che possiamo sperare di vedere in declino grazie al lavoro dei team di WordPress Security, Performance e Core. Una proposta per aiutare gli sviluppatori di plug-in e il team di revisione dei plug-in a innalzare gli standard e valutare i plug-in con un controllo dei plug-in è particolarmente promettente.

Tutte le vulnerabilità per fonte

In una determinata settimana, da 20 a 50 singoli plug-in e temi hanno riscontrato almeno una vulnerabilità nel 2022. Abbiamo visto emergere una media mensile di 121 singoli plug-in e temi che presentavano almeno una vulnerabilità.

Per rendere più facile vedere le tendenze, abbiamo rimosso un evento anomalo nella prima settimana di marzo 2022 dalle nostre tabelle e grafici: la vulnerabilità del framework Freemius SDK. Questo può essere considerato come una vulnerabilità in una dipendenza da plugin o come più di 400 plugin e 25 temi che contengono tutti il ​​codice Freemius vulnerabile.

Plugin e temi con una o più vulnerabilità, mese per mese

Il 2022 ha registrato valutazioni di rischio medio-basso per il 70% di tutte le vulnerabilità che abbiamo monitorato. Solo il 4% è stato giudicato critico. Puoi anche guardare la cosa nella direzione opposta: il 75% di tutte le vulnerabilità è stato valutato con una gravità da media ad alta, il che è significativo. Tuttavia, si tratta anche di un calo significativo dei livelli di minaccia rispetto al 2021. Nel 2022 assistiamo a uno spostamento verso il basso di 18 punti percentuali da critico e alto a medio e basso. Le vulnerabilità critiche sono scese dall'8% nel 2021 al 4%, mentre le vulnerabilità a bassa minaccia sono salite al 21%, rispetto all'11% nel 2021.

Tutte le vulnerabilità per livello di minaccia, anno per anno (2021-2022)

Tutte le vulnerabilità per livello di minaccia, mese per mese (2022)

Rispetto alle 337 (23%) dell'anno scorso, nel 2022 456 (26%) vulnerabilità sono rimaste prive di patch al momento della divulgazione pubblica. Ovviamente non è quello che vogliamo vedere.

Stato di vulnerabilità del plug-in al momento della divulgazione (2022)

I plug-in vulnerabili senza patch sono dannosi tanto quanto i plug-in con una patch che non è stata applicata con un semplice aggiornamento. Questi sono gli obiettivi più vulnerabili. Se le tendenze del 2022 continuano, è molto probabile che cadano vittime di attacchi XSS e CSRF se le tendenze attuali continuano. Insieme, questi metodi di attacco rappresentano oltre il 65% di tutte le vulnerabilità di WordPress emerse nel 2022.

In particolare, gli attacchi CSFR sono aumentati del 5%, il che è coerente con le segnalazioni provenienti da altre fonti all'interno e all'esterno dell'ecosistema WordPress. Come sottoinsieme degli attacchi di accesso a forza bruta, anche il credential stuffing è sempre più diffuso poiché gli hacker testano le credenziali di accesso rubate. In tal caso, non vi è alcuna vulnerabilità a parte il mancato utilizzo dell'autenticazione a più fattori o, meglio ancora, un accesso senza password.

La divulgazione responsabile è la cosa giusta da fare, anche quando fa male.

Nel 2022, i nostri rapporti settimanali sulla sicurezza hanno richiamato l'attenzione su diversi plug-in popolari, incluso uno dei nostri, con vulnerabilità che potrebbero avere un impatto su un numero molto elevato di siti Web.

• Come notato sopra, oltre 400 plugin e temi che utilizzano il framework Freemius sono stati interessati da una singola vulnerabilità, ma la maggior parte è stata corretta o rimossa dai repository di wordpress.org.
• Più di 5 milioni di utenti di Elementor hanno riscontrato una vulnerabilità critica che è stata rapidamente corretta.
• Un altro milione di utenti di Ninja Forms ha ricevuto un aggiornamento forzato da WordPress.org, un passo insolito intrapreso dal team di sicurezza a causa della natura critica della vulnerabilità.
• Infine, BackupBuddy ha corretto una vulnerabilità ad alta gravità e l'ha resa disponibile a tutti gli utenti, anche se avevano licenze scadute, e la versione aggiornata è stata inviata automaticamente ai nostri utenti di Sync.

È importante che queste informazioni vengano divulgate, una volta che gli sviluppatori di plugin e temi hanno corretto le vulnerabilità e sono pronti a rilasciare un aggiornamento di sicurezza. Tutto deve avvenire il più rapidamente possibile, e generalmente accade, all'interno del mercato professionale di WordPress, dove c'è molta cooperazione e partnership attorno a interessi comuni come la sicurezza. In qualità di utente finale, il tuo ruolo è quello di applicare gli aggiornamenti, supportare eventuali clienti che potrebbero essere interessati e diffondere la notizia di tutte le nuove versioni, in particolare quelle con aggiornamenti di sicurezza critici.

Corri - non camminare lentamente - i tuoi aggiornamenti!

Tutti i nostri risultati in questo rapporto ripetono le tendenze degli anni precedenti e sottolineano l'importanza di mantenere aggiornato il tuo sito WordPress. Per essere sfruttate, molte vulnerabilità richiederebbero a un utente malintenzionato di avere accesso a un account utente WordPress con privilegi elevati, ma ciò indica la necessità di rafforzare la sicurezza dell'autenticazione dell'utente e rivedere periodicamente i propri utenti. Applica sempre il principio del privilegio minimo: nessuno deve disporre di livelli di autorizzazione più elevati del necessario.

Il core di WordPress è solido. È ciò che aggiungi ad esso e il modo in cui mantieni l'intero sistema che potrebbe renderlo vulnerabile alle minacce alla sicurezza. Ma se effettui aggiornamenti tempestivi, limiti l'accesso degli utenti in modo appropriato, aggiungi l'autenticazione a più fattori e scegli saggiamente i tuoi plug-in, il tuo sito WordPress sarà solido dalla punta ai piedi.

Il miglior plugin di sicurezza per WordPress per proteggere e proteggere WordPress

WordPress attualmente alimenta oltre il 40% di tutti i siti Web, quindi è diventato un facile bersaglio per gli hacker con intenti dannosi. Il plug-in iThemes Security Pro elimina le congetture dalla sicurezza di WordPress per semplificare la sicurezza e la protezione del tuo sito Web WordPress. È come avere un esperto di sicurezza a tempo pieno nello staff che monitora e protegge costantemente il tuo sito WordPress per te.

Ottieni iThemes Security Pro

Dan Knauss

Dan Knauss è il Technical Content Generalist di StellarWP. È scrittore, insegnante e libero professionista che lavora nell'open source dalla fine degli anni '90 e con WordPress dal 2004.