Falha em plugin LiteSpeed Cache afeta 5 milhões de sites WordPress

Os administradores de sites do WordPress devem garantir que todos os seus plugins estão atualizados, sobretudo caso usem o plugin de cache “LS Cache” (Litespeed Cache).

Este plugin encontra-se atualmente instalado em mais de 5 milhões de sites WordPress, sendo usado para acelerar o carregamento de conteúdos através da criação de cache dos mesmos. No entanto, foi recentemente identificada uma vulnerabilidade, que pode ser usada para criar contas de administrador nos sites.

A vulnerabilidade foi descoberta pelos investigadores da empresa WPScan, em Abril, e segundo os mesmos, se for explorada pode permitir que os atacantes criem contas com acesso administrativo aos sites. A falha afeta todas as versões do plugin anteriores à 5.7.0.1.

Quando é explorada, a falha permite que seja injetado scripts no site, que permitem criar contas de administrador com o nome “wpsupp‑user” e “wp‑configuser”. Estas permanecem ocultas na instalação, mas podem ser usadas para acessos remotos e para alteração de dados do site.

A falha já se encontra a ser ativamente explorada para ataques, e embora uma grande parte dos utilizadores já tenham instalado as versões mais recentes do plugin, ainda existem maios de 1.835.000 sites afetados em versões antigas.

É recomendado que os administradores de sites WordPress atualizem as suas instalações o mais rapidamente possível, caso tenham este plugin, e verifiquem também se não foram alvo do ataque com a criação das contas de administrador do WordPress maliciosas.