Wtyczka File Manager, 700 tysięcy stron do przejęcia w jedno popołudnie
Wtyczka „File Manager" robi dokładnie to, co obiecuje, pozwala zarządzać plikami strony z panelu WordPress. Wygodne. Problem w tym, że w 2020 roku ta wygoda otworzyła furtkę setkom tysięcy stron naraz.
Co się stało
W File Managerze (CVE-2020-25213) znaleziono lukę pozwalającą bez logowania wgrać dowolny plik na serwer, w tym plik PHP, czyli działający kod. Napastnik wrzucał tzw. webshell (tylne wejście) i od tej chwili miał pełną kontrolę: mógł czytać bazę, zakładać konta administratora, rozsyłać spam.
Wtyczka była zainstalowana na ponad 700 tysiącach stron. Gdy luka wyszła na jaw, boty zaczęły masowo skanować internet, pierwsze ataki ruszyły w ciągu kilku godzin od publikacji.
Dlaczego to takie groźne
Wgranie własnego kodu na serwer to najgorszy możliwy scenariusz to nie „podmiana tekstu", to przejęcie całej maszyny. A wtyczki typu file manager są idealnym celem, bo z założenia operują na plikach.
Co robić
- Nie trzymaj wtyczek do zarządzania plikami na stałe. Zainstaluj, użyj, usuń. Każdy dzień „na wszelki wypadek" to ryzyko.
- Aktualizuj wtyczki natychmiast: łatka do File Managera wyszła szybko, ale liczyły się godziny.
- Ogranicz liczbę wtyczek. Mniej dodatków = mniejsza powierzchnia ataku.
Zasada jest brutalnie prosta: każda wtyczka to potencjalne drzwi. W ramach opieki pilnujemy, które wtyczki masz, czy są aktualne i czy w ogóle są potrzebne, odezwij się.
Źródło: NVD, CVE-2020-25213.