WordPress: a rischio i backup di Updraft. Ecco cosa fare

I plugin di WordPress devono essere tenuti aggiornati tanto quanto la stessa piattaforma, soprattutto quando si tratta di proteggere tutti i dati del proprio sito web. Updraft e Updraft Plus, che sono plugin gratuiti e premium rispettivamente dedicati al backup, al ripristino e alla clonazione di siti WordPress sono stati vittime di un bug abbastanza sensibile.

Come si può immaginare, un bug di sicurezza in un plugin di backup che potrebbe consentire a un utente malintenzionato di scaricare il backup di un sito senza autorizzazione significa, in teoria, che un intero sito, e tutti i dati che lo accompagnano, potrebbe finire per essere rubato in un colpo solo.

Questa, a quanto pare, è la natura di CVE-2022-23303, un bug trovato e segnalato nel plugin Updraft da un ricercatore di sicurezza di Automattic, la società dietro il marchio WordPress.

In realtà, oltre a fungere da gentile promemoria per gli utenti di Updraft per assicurarsi di essere aggiornati (al momento della scrittura: 1.22.4 per la versione gratuita; 2.22.4 per gli utenti Premium), abbiamo pensato di coprire questa patch come un esempio positivo di come affrontare una falla nella sicurezza informatica.

🔴 OSSERVATORIO INTELLIGENCE: LIVE

Secondo noi, Updraft ha azzeccato diverse cose importanti nel bollettino di aggiornamento che ha pubblicato sul suo blog:

• Il rapporto è stato tempestivo. La patch era disponibile e scritta entro due giorni dalla divulgazione responsabile del bug da parte di Automattic.
• Il rapporto non ha usato mezzi termini. Il paragrafo di apertura afferma: “La versione breve è: dovreste aggiornare. Per avere i dettagli, continuate a leggere”.
• Il rapporto ha descritto il bug in un inglese semplice, ed è stato chiaro sul rischio posto. In parole povere, qualsiasi utente autorizzato del vostro sito, anche uno che di solito carica solo articoli per l’editing e l’approvazione da parte di altri, potrebbe essere in grado di clonare il vostro intero sito, compresa la fuga con tutti i vostri dati non pubblici.

L’azienda ha offerto delle scuse credibili. Piuttosto che iniziare con parole ambigue su come il bug non era in natura, o parlarne male sottolineando che non permetteva un accesso totalmente non autenticato, il rapporto ha spiegato prima la situazione, ribadito l’importanza di aggiornare comunque, e presentato il suo apparentemente genuino rammarico alla fine.

Il rapporto è stato scritto da qualcuno che ne era a conoscenza ed ha descritto il problema da subito senza lasciare spazio a comunicati di consuetudine che si leggono solitamente in questi casi, spesso realizzati da sezioni o società di PR o marketing. Il rapporto è stato scritto da uno dei principali sviluppatori di Updraft: dare seguito a un errore di sicurezza informatica dicendo la semplice verità in un inglese semplice non solo è genuinamente utile, ma ha anche maggiori probabilità di convincere i vostri clienti a fidarsi di voi in futuro.

Se non altro, un rapporto di sicurezza aperto ed esplicativo mostra che avete effettivamente imparato qualcosa di positivo dall’incidente, e quindi rafforza qualsiasi richiesta di fare meglio la prossima volta.

Cosa fare?

Gli utenti di Updraft o Updraft Premium, devono avere rispettivamente almeno la versione 1.22.4 o 2.22.4, anche se si considerano “a basso rischio” perché non c’è nessun utente non privilegiato o ce ne sono pochi di cui preoccuparsi. Come giustamente sottolinea Updraft, anche se un attacco attivo dipenderebbe da “un hacker che fa reverse-engineering dei cambiamenti nell’ultima […] release per risolverlo, […] non si dovrebbe certamente contare sul fatto che questo richieda molto tempo, ma si dovrebbe aggiornare immediatamente“.