Plugin WordPress segnalato come vulnerabile nonostante sia aggiornato: come fare chiarezza

Plugin WordPress segnalato come vulnerabile: da dove proviene l’avviso

Il caso si ripete ogni settimana sui forum di WordPress.org: un plugin WordPress viene segnalato come vulnerabile anche se è installata l’ultima versione. Il messaggio cita una CVE, a volte tre falle in un sol colpo, e l’aggiornamento non cambia nulla. Prima di ignorare l’avviso o disinstallare il plugin in fretta e furia, bisogna capire come viene generato.

Un controllo di vulnerabilità non legge il codice del tuo plugin. Confronta due cose: il nome e la versione di ciò che è installato e un elenco pubblico di falle note, in cui ogni falla è associata a un plugin e a un intervallo di versioni interessate. Quando i due dati coincidono, viene mostrato l’avviso.

Il principio è semplice e rapido, ma entrambi i lati del confronto possono sbagliare. Le cause più frequenti di un avviso su una versione aggiornata sono le seguenti.

• L’elenco è errato o obsoleto: la falla è stata corretta nell’ultima versione, ma la voce indica ancora “tutte le versioni” o un intervallo troppo ampio. Questa è la causa più comune di falsi positivi.
• Due plugin condividono lo stesso identificativo: un plugin o un tema venduto al di fuori della directory di WordPress.org potrebbe condividere il nome della cartella con un altro ed ereditarne le falle.
• La versione letta non è quella corretta: alcuni prodotti premium dichiarano nell’intestazione un numero che non corrisponde a quello della propria schermata di aggiornamento.
• Il risultato risale a prima dell’aggiornamento: lo strumento non ha ancora effettuato una nuova verifica.
• L’avviso prende di mira l’elemento sbagliato: la falla riguarda una libreria integrata, oppure lo stesso WordPress dopo un aggiornamento del core, ed è associata a un plugin.

Falso positivo o falla senza patch: la differenza che conta

Non tutti gli avvisi su una versione aggiornata sono errori. Una falla può essere resa pubblica prima che l’autore abbia pubblicato una correzione. In questo caso, l’ultima versione è realmente vulnerabile e l’avviso è corretto.

Per decidere cosa fare, apri la scheda della falla nel database che la pubblica, utilizzando il suo riferimento CVE o il link fornito dall’avviso. Leggi tre informazioni.

Se la scheda indica una versione corretta uguale o inferiore alla tua, si tratta di un falso positivo. Se non indica alcuna patch, la falla è aperta: bisogna agire in attesa dell’autore. Se la scheda rimane vaga, il changelog del plugin e il suo forum di supporto spesso risolvono il dubbio in una sola riga.

• Le versioni interessate: “fino alla 7.5.1 inclusa” e “prima della 7.5.1” non significano la stessa cosa.
• La versione corretta, o la dicitura che non esiste ancora alcuna patch.
• La data di pubblicazione della falla, da confrontare con la data della tua versione.

Un avviso su una versione aggiornata significa “controlla”, non “fatti prendere dal panico” né “ignora”.

Cosa verifica il modulo Sicurezza di nexya

nexya riunisce le attività comuni di un sito WordPress in un unico pannello di amministrazione. Ogni attività è un modulo che si attiva o si disattiva dall’hub. Un modulo disattivato non registra nulla: nessuno dei suoi hook viene eseguito sul sito.

Il modulo Sicurezza verifica i plugin installati rispetto all’elenco delle falle note. Imposta anche gli header di sicurezza, una content security policy e un limite ai tentativi di accesso falliti.

Questo controllo si basa, come gli altri, su un elenco di falle note. Di conseguenza, anche questo può riportare una voce compilata male. Il metodo della sezione precedente si applica tale e quale: fanno fede la scheda della falla e il numero di versione installato.

Tutto ciò che segue è gratuito, su tutti i siti che desideri, tranne ciò che è contrassegnato come Pro. La versione gratuita non contiene il codice delle funzioni Pro; nexya Pro viene fornito da Freemius dopo l’acquisto e mantiene le stesse impostazioni.

• Gratuito: la verifica dei plugin installati rispetto all’elenco delle falle note, gli header di sicurezza, la content security policy, il limite dei tentativi di accesso falliti.
• nexya Pro: un controllo giornaliero delle vulnerabilità e un’impronta dei file con funzione di ripristino (rollback).
• nexya Pro: un sistema di autenticazione a due fattori per i ruoli che scegli.

Scoprire cosa è cambiato e quando

Un avviso che compare subito dopo un aggiornamento solleva due domande: la versione è davvero cambiata e chi ha fatto la modifica? Inizia dal numero visualizzato nell’elenco dei plugin di WordPress e confrontalo con quello della scheda della falla.

Il modulo Registro attività memorizza chi ha cambiato cosa sul sito, mostrando la situazione prima e dopo. Su un sito gestito da più persone, è il modo più rapido per sapere cosa è stato modificato, da chi e in quale momento, senza dover interrogare tutto il team.

Se i numeri corrispondono a una versione corretta e l’avviso persiste, lascia che lo strumento effettui nuovamente la verifica. Un risultato vecchio, calcolato prima dell’aggiornamento, spiega molti dei messaggi che sembrano assurdi.

Verificare un avviso di vulnerabilità, passo dopo passo

1. 1

   Attivare il modulo Sicurezza

   Nel hub di nexya, attiva il modulo Sicurezza. Verifica i plugin installati rispetto all'elenco delle vulnerabilità note. Se disattivato, non registra nulla sul sito.

   
2. 2

   Confronta la tua versione con la scheda della vulnerabilità

   Prendi nota del numero di versione nell'elenco dei plugin, apri la scheda della vulnerabilità e leggi le versioni interessate e la versione corretta. Il registro attività ti dice chi ha modificato cosa e quando.

   
3. 3

   Aggiornare in sicurezza o segnalare il falso positivo

   Se esiste una patch, aggiorna dietro la pagina di attesa del modulo Manutenzione: la versione precedente viene conservata e può essere ripristinata con un clic. Se la scheda è errata, segnalalo al database delle vulnerabilità e all'autore.

   

Risolvere senza rompere il sito

Il passo successivo dipende da ciò che dice la scheda. In tutti i casi, l’obiettivo è lo stesso: non lasciare aperta una vera falla e non danneggiare un sito funzionante a causa di un avviso infondato.

L’aggiornamento di un plugin rimane un intervento su un sito in produzione. Il modulo Manutenzione conserva la versione precedente di ogni plugin e tema subito prima dell’aggiornamento e la ripristina con un clic. Offre anche una pagina di manutenzione per chiudere il sito durante l’intervento.

In nexya Pro, un aggiornamento che rompe il sito viene annullato automaticamente e l’amministratore riceve un’e-mail.

• Vulnerabilità con patch: aggiorna, verifica il sito, quindi lascia che il controllo venga eseguito di nuovo.
• Vulnerabilità senza patch: disattiva il plugin se puoi farne a meno, o cercane uno sostitutivo, e segui il forum dell’autore.
• Falso positivo: segnalalo al database delle vulnerabilità e all’autore, indicando il tuo numero di versione e il riferimento della correzione, quindi annotalo per il team.

Cosa non fa nexya

Il modulo Sicurezza non corregge un elenco di vulnerabilità gestito da altri e non può garantire che una voce pubblica sia accurata. Segnala la situazione; la lettura della scheda rimane un compito tuo.

nexya non dispone di una scansione antimalware pesante e non pulisce un sito violato. Verifica i plugin installati rispetto alle vulnerabilità note e, nella versione Pro, controlla l’impronta dei file. Le reti multisite non sono supportate: su una rete, il plugin rimane disattivato e lo indica.