A maior plataforma usada para fazer websites na atualidade, o WordPress, estava sob uma séria vulnerabilidade. A falha permite que um único computador gere um ataque de DoS (quando um site é derrubado por excesso de acesso) em sites desenvolvidos na plataforma, colocando em risco milhões de páginas em todo o mundo.
O WordPress – Para entender a extensão do problema é preciso saber que atualmente, de acordo com a W3Techs (empresa especializada em pesquisas sobre a Web), o WordPress é usado como plataforma online por 29,4% de todos os sites que estão no ar no mundo.
Porém uma falha “ingênua” no sistema da plataforma gerou uma vulnerabilidade grave. A própria equipe do WordPress reconheceu a falha e argumenta que o problema deva ser tratado no nível do servidor da rede.
A falha – A vulnerabilidade, encontrada pelo pesquisador israelense, Barak Tawily, possibilita que se tire proveito de um script interno do WordPress, o load-scripts.php. Esse script permite que várias requisições sejam feitas de uma vez só (o chamado ataque DDoS) por qualquer um, sem autenticação. O resultado final disso seria uma completa paralisação de sites e em alguns casos de provedores inteiros.
O risco para os provedores e donos de site
Um ataque como este, do tipo Denial of Service, ou Negação de Serviço (DoS) consiste em causar lentidão ou indisponibilidade em um site na Internet. Hoje em dia é comum os ataques do tipo DoS, que são os ataques de negação de serviço distribuídos. Nesse caso, o site recebe um número imenso de requisições, muito maior do que a sua infraestrutura pode suportar, e o site trava.
A solução
A princípio, a lógica seria pensar que a última versão do WordPress lançada no dia 6 de fevereiro (4.9.4) resolveria tudo. Mas não é bem assim: na nova versão o script pode lidar com requisições que contenham até 40 arquivos em sequência; isso diminui, mas não resolve o problema – um servidor que contenha várias instâncias do WordPress, ou tenha um WordPress configurado para gerenciar vários sites, ainda pode ser vítima desse ataque. Uma vez que o criminoso pode fazer requisições para todas essas instâncias do WordPress, e assim paralisar o servidor da mesma maneira.
