Elementor, basta un clic dell'amministratore per perdere il sito WordPress

Il responsabile del sito di un’associazione è collegato a WordPress per aggiornare la pagina degli eventi. Nel frattempo gli arriva un’email, o un messaggio in chat, con un link. Lo apre. Non succede niente di visibile. Ma sul sito, da quel momento, c’è un nuovo amministratore che nessuno ha creato.

È lo scenario reso possibile da una vulnerabilità in Elementor, il costruttore di pagine per WordPress più diffuso in assoluto, usato da oltre 10 milioni di siti. Tra questi, moltissimi siti vetrina di PMI, pagine di scuole e siti di associazioni, spesso realizzati proprio con Elementor perché permette di impaginare senza scrivere codice.

Cosa è successo

Secondo BleepingComputer, la falla è stata segnalata a Elementor il 22 settembre dalla società Patchstack, grazie al lavoro di un ricercatore indipendente. Lo sviluppatore l’ha corretta in due giorni, con la versione 4.3.2 rilasciata il 24 settembre.

Sono vulnerabili solo due versioni: la 4.3.0 e la 4.3.1. Stando a The Hacker News, però, queste due versioni erano installate su oltre 2 milioni di siti. La gravità è stata valutata 8,8 su 10.

Al momento in cui scriviamo le fonti non riportano attacchi già in corso. Ma il meccanismo è semplice e ormai descritto pubblicamente, quindi è ragionevole aspettarsi che qualcuno provi a sfruttarlo presto.

Come funziona, in parole semplici

La vulnerabilità è di tipo CSRF (cross-site request forgery). Il nome è complicato, l’idea no.

Quando siete collegati come amministratori a WordPress, il browser “ricorda” che siete voi. WordPress, per evitare abusi, chiede a ogni operazione importante una sorta di codice di controllo che dimostra che la richiesta arriva davvero dal pannello del sito e non da un link esterno.

Il difetto di Elementor stava in un controllo troppo ingenuo: un suo modulo saltava quella verifica ogni volta che nell’indirizzo compariva una certa sequenza di testo. Siccome chi prepara il link decide lui cosa scriverci dentro, bastava aggiungere quella sequenza per scavalcare la protezione su qualunque funzione del sito, compresa la creazione di nuovi utenti con ruolo di amministratore.

Il risultato: un link apparentemente innocuo, cliccato da chi è loggato al sito, crea un account amministratore controllato dall’attaccante. Non servono programmi, moduli da compilare o altre azioni della vittima. Il link può arrivare per email, in chat, perfino in un commento lasciato sul sito.

Perché riguarda anche le piccole realtà

Chi gestisce un piccolo sito spesso pensa di non essere un bersaglio interessante. Ma questi attacchi raramente sono mirati: si prende un elenco di siti che usano il plugin vulnerabile e si mandano messaggi a raffica agli indirizzi di contatto, sperando che qualcuno clicchi mentre è collegato.

In Security Smart vediamo spesso siti in cui l’amministratore resta collegato per giorni sullo stesso browser che usa per la posta, oppure in cui esiste un unico account “admin” condiviso tra più persone, volontari o collaboratori esterni. Sono proprio le condizioni ideali per questo tipo di attacco.

E un amministratore in più non è un fastidio estetico. Con quel ruolo si possono installare plugin malevoli, inserire codice che infetta i visitatori, leggere i dati raccolti dai moduli di contatto o dalle iscrizioni. A quel punto, se il sito tratta dati personali, si apre anche la questione della possibile violazione da valutare ai sensi del GDPR.

Pochi giorni fa abbiamo scritto delle falle wp2shell nel nucleo di WordPress. Il messaggio è lo stesso: un sito “fatto e dimenticato” è un rischio, anche quando sembra che funzioni tutto.

Un tema tecnico, ma anche di abitudini

La correzione è un semplice aggiornamento. Ma questa vicenda ricorda che il pannello di amministrazione è una zona delicata, e che il clic sbagliato fatto nel momento sbagliato può bastare.

Quando facciamo formazione, insistiamo su un’abitudine semplice: chi amministra un sito dovrebbe collegarsi solo quando serve, fare quello che deve e poi uscire. E non aprire link ricevuti da sconosciuti mentre ha il pannello aperto in un’altra scheda. Non è paranoia, è igiene di base.

Cosa fare, in pratica

• Controllate subito la versione di Elementor. Dalla bacheca di WordPress, alla voce Plugin, verificate il numero di versione. Se leggete 4.3.0 o 4.3.1, aggiornate alla 4.3.2 o successiva. Se il sito è gestito da un fornitore, chiedetegli conferma scritta dell’aggiornamento.
• Rivedete l’elenco degli amministratori. In Utenti, filtrate per ruolo “Amministratore” ed eliminate o indagate ogni account che non riconoscete, soprattutto se creato negli ultimi giorni.
• Attivate gli aggiornamenti automatici dei plugin, almeno per quelli più diffusi e critici come Elementor. Per un piccolo sito, il rischio di un aggiornamento che rompe qualcosa è quasi sempre minore di quello di restare indietro.
• Riducete e separate gli account amministrativi. Un account personale per ogni persona, mai credenziali condivise, verifica in due passaggi attiva. Chi deve solo pubblicare contenuti può usare il ruolo di Editore, non quello di Amministratore.
• Uscite dal pannello quando avete finito e diffidate dei link ricevuti mentre siete collegati. Un’abitudine che vale per WordPress come per qualsiasi altro gestionale via web.

Matteo Gianniello — Consulente privacy e cyber security