WordPress ha sido una plataforma CMS muy popular desde su creación en 2003. Sin embargo, su popularidad conlleva el riesgo de amenazas a la seguridad. A medida que nos adentramos en 2023, es esencial hacer balance del estado actual de la seguridad de WordPress.
Fuente de la imagen: WordFence
Entre 2021 y 2022, se produjeron cambios significativos en las cinco principales categorías de vulnerabilidades divulgadas. Un cambio digno de mención es que la divulgación de información ha superado a la carga de archivos y se ha convertido en la quinta categoría de vulnerabilidad más frecuente. Esto pone de relieve la importancia crítica de proteger los datos sensibles y confidenciales. Además, se ha producido un aumento considerable de las vulnerabilidades CSRF, que se han más que duplicado y ahora ocupan una posición más alta que las vulnerabilidades de elusión de autorización, que también experimentaron un aumento de casi el doble de 2021 a 2022.
Fuente de la imagen: WordFence
Al examinar la distribución de los puntos vulnerables notificados, es evidente que los plugins constituyen la inmensa mayoría de las vulnerabilidades notificadas. Es importante reconocer que hay muchos más plugins que temas disponibles, lo que naturalmente influye en esta estadística. No obstante, esto pone de relieve que la plataforma central de WordPress es comparativamente más segura, y que cualquier problema de seguridad en el ecosistema de WordPress puede atribuirse a los plugins y a los temas.
He aquí algunas estadísticas rápidas de seguridad de WordPress a tener en cuenta, que ampliaremos a continuación:
A pesar de los numerosos esfuerzos por mejorar la seguridad a lo largo de los años, WordPress sigue siendo vulnerable a los ataques debido a versiones de software obsoletas y contraseñas débiles. De hecho, según un informe de Sucuri, casi el 74% de los sitios WordPress pirateados utilizaban software obsoleto en el momento del ataque. Además, los plugins y los temas presentan vulnerabilidades potenciales cuando no se actualizan con regularidad.
Dicho esto, en los últimos años se han introducido notables mejoras en la seguridad de WordPress. Entre ellas, las actualizaciones automáticas de los archivos principales y los plugins y la mejora de los requisitos de contraseña de usuario.
Considere este hecho: en 2022, se hizo un descubrimiento impactante con respecto a la seguridad de los plugins de sitios web populares. Se descubrió que 26 de estos plugins contenían errores de seguridad críticos que nunca fueron parcheados. Todos los sitios web que utilizan estos plugins corren el riesgo de ser pirateados y de ver comprometida su información confidencial.
Esta revelación demuestra que los propietarios de sitios web no pueden descuidar la seguridad de sus páginas. Con amenazas cibernéticas cada vez más sofisticadas, las empresas deben tomar todas las medidas necesarias para protegerse a sí mismas y a sus clientes. Esto incluye actualizar regularmente el software y asegurarse de que cualquier vulnerabilidad se soluciona rápidamente.
En 2022, se produjo un aumento significativo de los informes sobre fallos de seguridad en plugins de WordPress. En concreto, se notificaron 328 fallos más que el año anterior, con lo que el número total de fallos de seguridad confirmados en nuestra base de datos ascendió a 4.528. Se trata de un aumento mucho más significativo que en 2021, cuando sólo se notificaron 1.382 fallos de seguridad. Estas cifras demuestran la importancia de supervisar y actualizar regularmente los plugins para detectar vulnerabilidades de seguridad lo antes posible.
Como uno de los sistemas de gestión de contenidos (CMS) más populares del mundo, WordPress es a menudo objetivo de ciberdelincuentes que buscan explotar vulnerabilidades en el código de la plataforma. WordPress ha implementado varias medidas de seguridad para contrarrestar esta amenaza a lo largo de los años, incluidas actualizaciones automáticas y políticas de contraseñas mejoradas. Sin embargo, la divulgación responsable es una de las formas más eficaces de hacer más seguro el ecosistema de WordPress.
La divulgación responsable se ha vuelto más común en los últimos años, y el ecosistema de WordPress se ha beneficiado significativamente de esta tendencia. Muchos investigadores de seguridad que descubren vulnerabilidades en plugins, temas o en la plataforma principal de WordPress optan ahora por informar de ellas al equipo de seguridad de WordPress, que puede entonces trabajar con los desarrolladores de plugins y temas para publicar un parche.
Una de las ventajas de la divulgación responsable es que permite a los desarrolladores publicar una solución para la vulnerabilidad antes de que sea ampliamente conocida. Esto ayuda a evitar que los ciberdelincuentes exploten la vulnerabilidad para comprometer los sitios de WordPress. Cuando las vulnerabilidades se divulgan públicamente antes de que esté disponible una solución, esto se conoce como explotación de "día cero".
La divulgación responsable también permite a los usuarios de WordPress parchear vulnerabilidades a tiempo, reduciendo el riesgo de que sus sitios sean pirateados. Cuando se descubre una vulnerabilidad y se informa de ella a través de la divulgación responsable, el equipo de seguridad de WordPress puede trabajar rápidamente para publicar un parche. A continuación, los propietarios de los sitios pueden actualizar sus plugins, temas o la plataforma principal de WordPress para aplicar el parche y reducir el riesgo de que los sitios se vean comprometidos.
La comunidad de WordPress ha reconocido la importancia de la divulgación responsable, y varias iniciativas promueven actualmente esta práctica. Por ejemplo, el equipo de seguridad de WordPress dispone de una dirección de correo electrónico específica para que los investigadores de seguridad informen sobre vulnerabilidades. Muchos desarrolladores de plugins y temas incluyen ahora una política de divulgación responsable en sus sitios web.
En conclusión, la divulgación responsable es una práctica esencial para reforzar la seguridad del ecosistema de WordPress. Al informar de vulnerabilidades al equipo de seguridad de WordPress de forma responsable y ética, los investigadores de seguridad pueden ayudar a los desarrolladores a publicar parches rápidamente, reduciendo el riesgo de explotación de día cero. Los usuarios de WordPress también pueden beneficiarse de la divulgación responsable aplicando los parches a sus sitios en el momento oportuno, reduciendo el riesgo de que sus sitios se vean comprometidos. La comunidad de WordPress debe seguir promoviendo y fomentando la divulgación responsable para garantizar que la plataforma siga siendo segura y fiable durante años.
