Vulnerabilidad CMS

WordPress, Joomla y Drupal son los CMS más populares (Content Management Systems) que se utilizan en todo el mundo para el desarrollo web. Éstos son las opciones preferidas en los sistemas de gestión de contenidos para los empresarios, bloggers, empresas, pequeñas empresas y propietarios de tiendas. Sin embargo, de la misma forma en que estos tres sistemas de gestión de contenidos atraen a propietarios de sitios web, también ponen en alerta a hackers y delincuentes, así pues WordPress es uno de los CMS más hackeado.

Detrás de todo CMS existe un sistema de base de datos que es básicamente el cielo para los piratas informáticos. Estos sistemas de base de datos tienen una gran cantidad de vulnerabilidades que los hackers pueden acceder y explorar, y es por eso que WordPress, Joomla y Drupal son algunas de sus víctimas favoritas. Mediante el manejo de estos CMS el desarrollo de sitios web y el mantenimiento se hace extremadamente fácil, pero parece ser que los desarrolladores de estos CMS valoran más el fácil manejo de las aplicaciones que la seguridad de las mismas, así pues algunos de ellos tienen algunas carencias de seguridad importantes, haciendo que sean el paraíso de hackers dispuestos a malversar esos websites.

A continuación se indican algunos de los diferentes tipos de ataques que pueden ocurrir en las páginas definidas con un CMS.

Sitio web comprometido

Esto significa que un sitio web realizado con un CMS puede ser víctima de un hacker convirtiéndolo en un sitio web hackeado, lo que permite a los hackers un mal uso de un dominio de confianza. La intención de estos hackers será instalar un enlace en la base de datos sin el conocimiento del propietario, así cuando alguien acede al tu sitio web es redireccionado a otro dominio.

Un ejemplo muy común son los spammers que pueden llegar a manipular un sitio web con el fin de redirigir a los usuarios a una URL donde se venden cualquier tipo de productos que nada tienen que ver son tu website.

De acuerdo con una encuesta realizada por StopBadware y Commtouch, aquí se presenta un desglose de los sitios comprometidos basado en el CMS que utilizan:

• WordPress – 28%
• Joomla – 9%
• Drupal – 1%
• Otros CMS – 62%

SQL Injection

En este tipo de ataque un código malicioso es insertado en el website, principalmente en campos de un formularios, y es usado como puerta de entrada para explorar las vulnerabilidades de la base de datos.

Un ejemplo de esta vulneración se produce en los casos en los que un hacker introduce una sentencia SQL maliciosa, normalmente en un campo de un formulario, capaz de descifrar usuarios y contraseñas de acceso al CMS, eliminar o modificar la estructura de alguna tabla o incluso eliminar por completo la base de datos que mantiene el sistema CMS.

Vulnerabilidades de código

Los sitios web definidos mediante WordPress, Drupal o Joomla son construidos utilizando los conocimientos de programación php. Muchas veces, si no se codifica correctamente, un hacker puede encontrar vulnerabilidades en el código.

Algunos ejemplos de estas vulnerabilidades de código pueden ser:

• Envío de parámetros sin validar o sin codificar.
• Errores en control de acceso
• Mal uso de gestión de Sesiones
• Cross-site scripting (XSS) erróneos
• Desbordamiento de búfer
• Comandos equivocados o con un mal funcionamiento.

Contraseñas fáciles de adivinar

La facilidad de adivinación de las contraseñas es una vulnerabilidad de seguridad muy común. Por ejemplo, un miembro del equipo interno o un ex empleado de la empresa pueden adivinar la contraseña fácilmente, iniciar sesión en la base de datos y robar información valiosa. Por lo tanto, se aconseja cambiar las contraseñas regularmente y utilizar contraseñas complejas difíciles de adivinar.

Para proteger los datos guardados en una base de datos que mantiene un website definido mediante un CMS es bueno controlar constantemente la base de datos para garantizar que no se producen actividades inusuales o que puedan corromper nuestro sistema. Para ello los administradores de los website deberían de tomar las siguientes medidas:

• Verificar que sólo los usuarios autorizados tienen acceso a la base de datos, asegurarse de que todos los usuarios que tienen acceso a la base de datos no son administradores y asignar privilegios a los usuarios en función de sus roles.
• Vigilar los cambios que tienen lugar en su sitio web. La instalación de un nuevo módulo o plugin puede exponer a ciertas vulnerabilidades a nuestra base de datos que mantiene el CMS debido a que en los sistemas de gestión de contenidos toda la información se almacena en la propia base de datos.
• Instalar un sistema de seguimiento de datos del sistema de seguridad que continuamente audite la base de datos en tiempo real y ofrezca informes sobre los cambios de la base de datos para detectar y registrar posibles inyecciones SQL.
• Elegir un proveedor de hosting consistente y seguro que ofrezca servidores optimizados para WordPress, Joomla y Drupal. Es aconsejable que se disponga de un servicio de alojamiento donde se pueda controlar todos los parches de seguridad, aplicaciones, actualizaciones de software, etc

Un hacker puede atacar a cualquier sitio que parezca vulnerable, así que cómo ser suele decir “es mejor prevenir que curar”, por ello es recomendable tomar este tipo de precauciones para cerrar la puerta a cualquier acción malintencionada de un posible hacker o intruso.

Poco a poco las diferentes versiones de los CMS van controlando estas vulnerabilidades de una manera eficiente para evitar que nuestros website sean víctimas de una violación de seguridad informática, aún así estas medidas de control de nuestras páginas son muy recomendables.

---

Si te ha gustado este interesante artículo, te animamos a seguirnos también en nuestras redes sociales o leer más artículos en nuestro blog. Igualmente, también puedes visitar nuestra web, para conocernos un poco más y ver nuestra oferta formativa de más de 200 cursos en modalidad online.