MADRID, 18 de noviembre. - En un giro alarmante, se ha descubierto una vulnerabilidad crítica en el sistema de autentificación del popular complemento de WordPress, conocido como Really Simple Security (SSL, por sus siglas en inglés), que afecta a más de 4 millones de sitios web que lo utilizan, tanto en su versión gratuita como en la de pago.

El Really Simple Security es un complemento diseñado para mejorar la seguridad de las páginas web mediante herramientas que aseguran un inicio de sesión protegido, incorporan un sistema de autentificación multifactor (MFA, por sus siglas en inglés) y llevan a cabo una detección de vulnerabilidades en tiempo real.

La firma de ciberseguridad e inteligencia de amenazas, Wordfence, ha alertado acerca de esta vulnerabilidad, que ha comprometido la integridad de más de 4 millones de páginas web que utilizan versiones del complemento que van desde la 9.0.0 hasta la 9.1.1.1, tanto en sus versiones gratuita como Pro (Really Simple Security Pro y Pro Multisite).

El fallo permite que atacantes no autentificados logren iniciar sesión como administradores en cualquier sitio de WordPress en el que se haya activado la configuración de autentificación de dos factores (2FA), la cual, cabe destacar, se encuentra deshabilitada por defecto, según lo han señalado los expertos en la materia.

Esta vulnerabilidad, etiquetada como CVE-2024-10924, otorga a los atacantes la capacidad de acceder de forma remota y obtener permisos administrativos completos en cualquier web que esté utilizando el complemento en cuestión, incluso si dicha función de seguridad ha sido activada previamente, de acuerdo con las explicaciones del equipo de ciberseguridad en su blog.

El origen de este problema radica en la función 'check_login_and_get_user()', que se encarga de verificar la identidad de los usuarios iniciando sesión a partir de dos parámetros: 'ser_id' y 'login_nonce'. Al introducir información incorrecta en este último, la solicitud de acceso no es rechazado, sino que activa otra función, 'authenticate_and_redirect()', permitiendo así que se autorice al usuario únicamente basado en el 'user_id', eludiendo la autentificación por completo.

Wordfence ha calificado esta vulnerabilidad como una de las más serias que han detectado en sus 12 años de servicio en el ámbito de la seguridad de WordPress, logrando un escalofriante puntaje de 9.8 en el Sistema de Puntuación de Vulnerabilidades Comunes (CVSS, por sus siglas en inglés).

La gravedad de esta vulnerabilidad radica en su potencial para ser explotada de manera programática, lo cual podría transformar esta falla en un ataque automatizado a gran escala dirigido contra sitios web de WordPress, según han advertido los investigadores.

Ante esta situación, se ha confirmado que el desarrollador de este complemento está colaborando con el equipo de WordPress.org para implementar una actualización de seguridad (9.1.2) destinada a todos los usuarios que estén utilizando una versión vulnerable de SSL. Aquellos usuarios que no hayan habilitado las actualizaciones automáticas deberán proceder a realizar esta actualización manualmente para proteger sus sitios web.