Les plugins malveillants cachés de WordPress 5.5 bloquent les fonctionnalités

Le WordPress 5.5 récemment mis à jour contient une fonctionnalité qui empêche les plugins malveillants de s’emparer des sites WordPress. La modification permet à un site WordPress de vérifier si un plugin est légitime ou non et de l’empêcher de se mettre à jour s’il est signalé comme bloqué de mise à jour.

Fonctionnalité de sécurité WordPress non annoncée

Cette nouvelle fonctionnalité n’a pas reçu d’annonce.

Au lieu de cela, la notation de ce changement était pratiquement cachée dans une liste de centaines d’autres améliorations apportées à WordPress.

Il était caché dans une longue liste de centaines d’autres changements qui faisaient partie de WordPress 5.5.

Cette mise à jour du code au sein de WordPress 5.5 améliore la sécurité et mérite d’être mieux comprise car elle a un impact positif sur la sécurité.

Capture d'écran de la liste des modifications apportées à WordPress

La liste des modifications apportées à WordPress 5.5 est si longue que vous devez faire défiler six fois pour arriver à la note sur cette importante mise à jour liée à la sécurité.

Attaques de la chaîne d’approvisionnement WordPress

Il existe des organisations malveillantes qui achètent des plugins WordPress pour ajouter des publicités malveillantes, des portes dérobées et des liens. Cette méthode d’attaque profite de la confiance qu’un éditeur a pour un plugin qu’il a déjà téléchargé et approuvé.

Continuer la lecture ci-dessous

Avec la mise à jour automatique activée, cela pourrait donner à un plugin malveillant un moyen facile d’infecter chaque éditeur utilisant ce plugin.

Cependant, WordPress a créé un moyen de signaler les mauvais plugins et de désactiver à distance la fonction de mise à jour automatique pour le plugin escroc.

Comment WordPress 5.5 arrête les plugins malveillants

WordPress a conçu un moyen de désactiver la mise à jour automatique des plugins en cas de problème.

Selon WordPress:

« La nouvelle interface utilisateur de mise à jour automatique est géniale, mais elle gagnerait à avoir un moyen de désactiver à distance la mise à jour automatique pour un plugin/un thème.

Cela ouvrira la possibilité à WordPress.org de contrôler le déploiement d’une mise à jour automatique, par exemple, en mettant à jour automatiquement tout le monde 1 à 24 heures après la publication plutôt qu’immédiatement pour permettre la découverte de bogues majeurs.

Idéalement, il n’aura jamais besoin d’être utilisé pour cela, mais il protégera également les utilisateurs de WordPress en nous permettant de le désactiver pour un plugin ou entièrement s’il y a des comportements inattendus de sa part.

Le PR joint permet à la réponse de l’API WordPress.org d’inclure un indicateur disable_autoupdate qui le désactivera pour cet élément, cela n’affectera pas l’interface utilisateur et, espérons-le, ne sera jamais nécessaire (à part l’exemple de cas d’utilisation de la fumée A/B tests ou similaires).

Continuer la lecture ci-dessous

Ce qui se passera, c’est qu’un site WordPress vérifiera si un plugin doit être mis à jour ou non.

Un “drapeau” appelé “disable_autoupdate” communiquera au site WordPress pour ne pas mettre à jour un plugin spécifique. Ce « drapeau » agit comme un contrôleur d’accès décidant quel plugin sera empêché de se mettre à jour.

Capture d’écran de la page WordPress documentant le changement de code

Ceci est une capture d’écran du code ajouté tel que documenté par WordPress. Le code agit comme un portier, demandant une réponse par oui ou par non afin de déterminer s’il faut autoriser ou bloquer une mise à jour de plugin.

Wordfence dit que c’est un bon changement

J’ai contacté les chercheurs en sécurité de Wordfence (@wordfence) à propos de cette nouvelle fonctionnalité.

Dans leur réponse, ils font référence aux termes techniques suivants :

WP-Cron: Il s’agit d’une tâche planifiée qui est effectuée par l’installation de WordPress.
Équipe principale et gestionnaires de pension : Travailleurs de WordPress.org.
Dépôt: Où sont stockés les plugins

Voici ce que les chercheurs de Wordfence ont dit :

« Les mises à jour automatiques sont déclenchées par le wp-cron sur des sites individuels deux fois par jour.

Le site se tournera vers le référentiel pour identifier les mises à jour de thème/plugin si le propriétaire du site a activé les mises à jour automatiques pour ce thème ou ce plugin particulier.

Les développeurs de thèmes et de plugins du référentiel archiveront eux-mêmes une nouvelle version d’un plugin ; l’équipe principale et les gestionnaires de pension n’auditent pas ce code ou ne le vérifient pas.

Ainsi, avec la fonction de mise à jour automatique désormais en place, tout code de plug-in enregistré sera disponible en téléchargement sur tout site sur lequel les mises à jour automatiques sont activées.

Ce contrôle est conçu pour empêcher le déploiement de ce code sur les sites de mise à jour automatique en cas de problème. Par exemple, cette fonctionnalité pourrait empêcher certaines des attaques de la chaîne d’approvisionnement que nous avons vues dans le passé, lorsqu’un attaquant achetait des plug-ins et plaçait du code malveillant dans des plug-ins de référentiel.

Lorsqu’un site contacte le référentiel pour les mises à jour, le référentiel peut répondre avec cet indicateur (qui ne doit être défini que sur vrai ou faux) pour s’assurer que les plugins ou les thèmes présentant des problèmes ne sont pas automatiquement mis à jour.

Continuer la lecture ci-dessous

Amélioration de la sécurité de WordPress 5.5

Cette nouvelle fonctionnalité n’a pas reçu d’annonce. Mais c’est important car il rend les sites de publication sur WordPress plus sûrs et empêche les criminels de s’emparer des sites WordPress.