Cerca de 40.000 tiendas online en España, muchas de ellas gestionadas por autónomos y pequeños negocios, podrían estar en riesgo debido a una grave vulnerabilidad del gestor de contenidos WordPress. Más concretamente, de WooCommerce, su plataforma de comercio electrónico, que emplean un tercio de los ecommerce españoles. Este fallo ha sido detectado concretamente en el plugin Really Simple Security, uno de los más utilizados.
Este complemento, instalado en más de cuatro millones de páginas en todo el mundo, y ampliamente integrado con WooCommerce, permite gestionar la seguridad de sitios web, incluyendo por supuesto las tiendas de comercio electrónico, que ahora estarían a merced de cualquier ataque.
El fallo, identificado a mediados del pasado noviembre por la plataforma Wordfence Threat Intelligence, encargada de mostrar debilidades en los sistemas, ha sido clasificado como una de las vulnerabilidades más críticas de WordPress en la última década. Esta brecha de seguridad permite a posibles atacantes acceder sin autorización a las cuentas de administrador, lo que podría tener consecuencias graves, especialmente para negocios pequeños que dependen de estas herramientas para sus operaciones diarias. Además, el problema afecta tanto a las versiones gratuitas del plugin como a las de pago, incluyendo la variante multisitio.
Se trata de una vulnerabilidad que compromete la confianza en los sistemas de seguridad
La causa del fallo de Really Simple Security radica en una implementación insegura de la función de autenticación en dos pasos, (2FA) que, en lugar de proteger, expone el sistema a accesos no autorizados. Así, el error reside en el manejo inadecuado de las verificaciones de usuario en ciertas solicitudes. Esto permite a atacantes no autenticados poder suplantar cualquier cuenta existente, incluyendo las de los administradores.
En la práctica, para un comercio electrónico gestionado por un pequeño negocio que usa WordPress con el plugin Really Simple Security, el fallo mencionado se traduciría en lo siguiente:
Cómo debería funcionar normalmente el sistema 2FA:
- Un usuario legítimo intenta iniciar sesión.
- Introduce su nombre de usuario y contraseña.
- El sistema envía un código único al usuario (por ejemplo, a su móvil) y verifica si es correcto antes de permitir el acceso.
- Si el código es válido, se concede el acceso. Si no lo es, el inicio de sesión se bloquea.
Qué sucede con el fallo de Really Simple Security:
- Un atacante malintencionado realiza una solicitud al sistema de inicio de sesión.
- Utiliza una técnica que explota el fallo en el código del plugin para “engañar” al sistema. Concretamente, el atacante envía una solicitud simulada con el ID de usuario válido y un token de autenticación que no necesita ser correcto debido al error.
- El sistema no valida correctamente el token y, en lugar de bloquear al atacante, lo trata como un usuario legítimo.
Cualquier atacante podría hacerse con el control de las webs de los negocios
Esto permite al atacante acceder a la cuenta del usuario, incluida la de administradores, sin necesidad de conocer la contraseña ni tener acceso al segundo factor de autenticación. Es decir, tener el control total sobre el sitio, pudiendo robar datos de los clientes, insertar malware o incluso cerrar la página, afectando gravemente al pequeño comercio electrónico.
De hecho, la calificación de la vulnerabilidad, según el sistema CVSS, alcanza un nivel crítico de 9,8 puntos sobre un máximo de 10. Por tanto, el alcance de este problema es especialmente alarmante para autónomos y pequeños comercios online, que dependen de WordPress para gestionar sus sitios web o tiendas web. Muchas de estas páginas alojan comercios electrónicos, lo que las convierte en objetivos atractivos para los atacantes que buscan hacerse con datos sensibles, interrumpir la operativa del negocio o emplear tácticas para derivar el tráfico.
Aunque a las pocas horas de conocerse el fallo se implementó una actualización automática obligatoria para corregirlo, aquellos sitios sin mantenimiento regular o que no tienen habilitadas las actualizaciones automáticas siguen siendo vulnerables a día de hoy.
Más de la mitad de los autónomos no habrían actualizado la herramienta para solucionar el problema
Tanto es así que, según las propias estadísticas del repositorio oficial de plugins, más de la mitad (52%) de páginas en la que está instalada la versión gratuita de Really Simple Security aún no se ha actualizado: no ha realizado el cambio a la más reciente.
Este incidente subraya la importancia de mantener al día los plugins y herramientas críticas de un sitio web. Más allá de los parches de seguridad, la falta de supervisión activa puede convertir un simple descuido en un desastre para los pequeños negocios que ya operan en entornos donde cada día aparecen nuevos riesgos de ciberseguridad.
Por su parte, la compañía Wordfence, que desarrolla el plugin de seguridad del mismo nombre para WordPress, ha implementado reglas específicas en su cortafuegos para bloquear cualquier intento de explotar esta vulnerabilidad. Sin embargo, esta protección sólo está disponible de inmediato para los usuarios de sus planes Premium, Care y Response. Aquellos que utilizan la versión gratuita de Wordfence no recibirán estas medidas hasta entrado el mes de diciembre, lo que deja una ventana de exposición significativa.
¿Cómo pueden protegerse los pequeños comercios electrónicos de esta vulnerabilidad?
Para mitigar el impacto de este problema, se recomienda que los usuarios de Really Simple Security sigan estos pasos:
- Verificar la versión instalada del plugin. Hay que asegurarse de que sea la versión 9.1.2 o posterior.
- Habilitar las actualizaciones automáticas. Esto reduce el riesgo de vulnerabilidades futuras.
- Asegurarse de usar las herramientas adecuadas de monitorización y seguridad. Siendo imprescindible poder contar en todo momento con una copia de seguridad de la página.
Si existe la duda de que el sitio haya sido comprometido por esta vulnerabilidad, se pueden tomar las siguientes medidas para comprobarlo y resolverlo:
- Revisar los accesos y usuarios del sitio. Examinar la lista de usuarios registrados y los registros de actividad en busca de cuentas o accesos sospechosos. Si se detecta un usuario que no debería estar allí, eliminarlo y cambiar las contraseñas de todas las cuentas, especialmente las de los administradores.
- Escanear el sitio en busca de malware. Para ello existen herramientas como el propio Wordfence, Quttera, Sucuri o MalCare, para realizar un análisis exhaustivo de los archivos y detectar posibles infecciones.
- Actualizar todos los plugins y temas. Asegurarse de que tanto los complementos como los temas del sitio están actualizados.
- Restaurar desde una copia de seguridad limpia. Si se confirma que el sitio ha sido comprometido, y no se puede reparar adecuadamente, lo más operativo es restaurar una copia de seguridad anterior al ataque.
