El 18 de noviembre de 2024, se reveló una vulnerabilidad crítica en el complemento Really Simple Security de WordPress, utilizado en más de 4 millones de sitios web, incluyendo al menos como vulnerables 18 sitios oficiales de México . Esta falla permite a atacantes no autenticados obtener control administrativo completo de los sitios afectados, poniendo en riesgo la seguridad digital y la confianza pública.
En AutDefend, analizamos este incidente y ofrecemos recomendaciones para mitigar los riesgos asociados.
Detalles de la Vulnerabilidad
La vulnerabilidad, identificada como CVE-2024-10924, obtuvo una puntuación de 9.8 en la escala CVSS, clasificándola como crítica. El problema reside en un manejo deficiente de la función «check_login_and_get_user», encargada de la autenticación de usuarios. Esta falla permite que un atacante no autenticado eluda la autenticación de dos factores (2FA) y acceda al sistema como cualquier usuario, incluido el administrador, tomando el control completo del sitio.
Los desarrolladores del complemento corrigieron la falla en la versión 9.1.2, lanzada el 13 de noviembre de 2024. Para mitigar riesgos, WordPress implementó una actualización forzada, garantizando que la mayoría de los usuarios del complemento recibieran el parche.
Impacto en Sitios Gubernamentales Mexicanos
Entre los portales gubernamentales en México que podrían estar en riesgo se encuentran:
- Gobierno Municipal de Chapala del Estado de Jalisco
- Mujeres con Bienestar del Estado de México
- Alcaldía Cuajimalpa de Morelos de la Ciudad de México
- Secretaría de Cultura del Estado de Guerrero
- Ayuntamiento Constitucional de Jilotepec del Estado de México
- Gobierno del Estado de Oaxaca
- Municipio de San Pedro Yolox del Estado de Oaxaca
- Municipio de Tianguistenco del Estado de México
- Comisión Mexicana de Filmaciones
- Organismo Operador Municipal de Agua Potable, Alcantarillado y Saneamiento del Municipio de Cajeme del Estado de Sonora
- Ayuntamiento de Atlacomulco del Estado de México
- Instituto de la Educación Básica del Estado de Morelos
- Municipio de Sahuaripa del Estado de Sonora
- Municipio de Singuilucan del Estado de Hidalgo
- Fideicomiso de Obras por Cooperación del Gobierno Municipal de León del Estado de Guanajuato
- Intranet del Gobierno del Estado de Veracruz
- Servicios de Salud Jalisco
- Presidencia Municipal de Pachuca del Estado de Hidalgo
Estos sitios, esenciales para trámites ciudadanos y difusión de información oficial, podrían ser utilizados como vectores para ataques masivos de desinformación, robo de datos sensibles o ciberespionaje.
Recomendaciones para Mitigar el Riesgo
Para proteger los sitios web gubernamentales y otros portales que utilizan WordPress, se recomienda:
- Actualizar el Complemento Really Simple Security
- Asegurarse de que el complemento esté actualizado a la versión 9.1.2 o superior, donde la vulnerabilidad ha sido corregida.
- Implementar Autenticación de Dos Factores (2FA) Segura
- Verificar que la implementación de 2FA sea robusta y no presente vulnerabilidades similares.
- Realizar Auditorías de Seguridad Periódicas
- Llevar a cabo evaluaciones de seguridad regulares para identificar y corregir posibles vulnerabilidades en los sitios web.
- Monitorear Actividades Sospechosas
- Implementar sistemas de monitoreo que detecten actividades inusuales o intentos de acceso no autorizados.
- Capacitar al Personal en Ciberseguridad
- Ofrecer formación continua al personal encargado de la gestión de los sitios web sobre las mejores prácticas en seguridad informática.
Servicios de AutDefend
En AutDefend, ofrecemos soluciones integrales para fortalecer la seguridad de su infraestructura digital:
- Auditorías de Seguridad y Evaluaciones de Riesgo: Identificamos y corregimos vulnerabilidades en sus sistemas y procesos.
- Monitoreo Continuo y Respuesta a Incidentes: Detectamos y mitigamos amenazas en tiempo real, protegiendo operaciones críticas.
- Capacitación en Ciberseguridad: Formamos a su equipo en prácticas seguras para prevenir ataques y fortalecer la cultura de seguridad.
Servicios de AutDefend
En AutDefend ofrecemos servicios especializados de ciberseguridad, que incluyen la implementación de controles basados en CIS, gestión de riesgos según ISO 27001, capacitación en seguridad de la información y mucho más. Nuestro equipo te guiará en cada paso para asegurar que tu organización cumpla con los más altos estándares de seguridad.
En AutDefend, ofrecemos servicios especializados para proteger a tu organización contra amenazas cibernéticas emergentes:
- Auditorías de Seguridad y Evaluaciones de Riesgo: Identificamos y corregimos vulnerabilidades en tu infraestructura.
- Monitoreo Continuo y Respuesta a Incidentes: Implementamos soluciones de monitoreo en tiempo real para detectar y responder a amenazas.
- Capacitación en Ciberseguridad: Programas de formación continua para tu equipo.
- Consultoría en Cumplimiento Normativo: Asesoramos para cumplir con normativas de protección de datos.
Contacto
Para más información o para programar una auditoría de seguridad, visita nuestro sitio web.
AutDefend – Protegiendo tu mundo digital
Teléfono: +52 81 1223 0910
Sitio web: autdefend.com
Correo electrónico: info@autdefend.com