Che cos'è uno scanner di vulnerabilità di WordPress e ne hai bisogno?

Pubblicato: 2023-03-08

È abbastanza sicuro dire che tutto il software ha qualche tipo di vulnerabilità. Ciò non significa necessariamente che il software sia scadente o inferiore agli standard: le vulnerabilità possono sorgere per tutti i tipi di motivi, dai processi di QA falliti a incompatibilità ambientali o configurazioni errate.

Le vulnerabilità possono essere classificate in due categorie: note e sconosciute. Le vulnerabilità note, come XSS (Cross-site scripting) e SQL injection, sono vulnerabilità che tutti conoscono. I fornitori di software affidabili controlleranno sempre queste vulnerabilità e le elimineranno durante i processi di QA e test.

D'altra parte, le vulnerabilità sconosciute sono quelle vulnerabilità che non sono note. Questi possono essere causati da bug nel codice o qualcosa nell'ambiente. Grazie a WordPress con una base di utenti così ampia, le vulnerabilità non rimangono sconosciute a lungo. Una volta scoperta una vulnerabilità, viene chiamata vulnerabilità zero-day finché non viene rilasciata una patch.

In questo articolo, daremo uno sguardo approfondito alle vulnerabilità di WordPress, ai diversi tipi di scanner disponibili e a cosa dovresti cercare quando cerchi di proteggere il tuo WordPress

Sommario

    • Cos'è una vulnerabilità di WordPress?
    • Comprendere la differenza tra uno scanner di vulnerabilità e uno scanner di sicurezza
    • Comprendere la differenza tra il test della scatola nera e quello della scatola bianca
      • Test della scatola nera
      • Test della scatola bianca
    • Vulnerabilità comuni di WordPress
      • Core WordPress obsoleto
      • Password deboli
      • Plugin e temi vulnerabili
      • Attacchi di forza bruta
      • SQL Injection
    • Perché dovresti cercare le vulnerabilità
    • I migliori scanner di vulnerabilità di WordPress
      • WPScan
      • WPSec
      • Sucuri
      • Acunetix
    • Proteggi il tuo WordPress
    • Domande frequenti
      • Quale strumento posso utilizzare per cercare le vulnerabilità di WordPress?
      • Come posso cercare le vulnerabilità nel mio sito WordPress?

Cos'è una vulnerabilità di WordPress?

Una vulnerabilità di WordPress è una vulnerabilità del software in WordPress che può essere nota o sconosciuta.

WPScan, uno scanner di vulnerabilità di WordPress open source gratuito di cui parleremo più dettagliatamente più avanti in questo articolo, ha quasi 40.000 vulnerabilità di WordPress nel suo database. Offrono anche alcune statistiche interessanti:

WPScan ha rilevato che 4.069 plug-in premium presentano una sorta di vulnerabilità. Questa cifra arriva fino a 98.241 per i plugin gratuiti. Ciò non significa che i plug-in gratuiti siano dannosi: i plug-in premium hanno più risorse a loro disposizione per testare e controllare i plug-in prima che vengano rilasciati, motivo per cui costano sorprendentemente denaro. In generale, quando si paga per un plug-in, si ottiene in cambio ulteriore sicurezza (a parte la funzionalità aggiuntiva).

Le vulnerabilità dei plug-in rappresentano la più alta percentuale di vulnerabilità al 92%, con le vulnerabilità del tema un secondo distante al 5% e lo stesso WordPress al 3%.

Comprendere la differenza tra uno scanner di vulnerabilità e uno scanner di sicurezza

Uno scanner di vulnerabilità di WordPress è uno strumento dedicato in grado di eseguire la scansione delle vulnerabilità: bug del software o configurazioni errate che creano una falla nella sicurezza.

Scanner di sicurezza è un termine generico che può includere scansioni di vulnerabilità, sebbene in senso stretto, gli scanner di sicurezza tendano a verificare la presenza di configurazioni errate, aggiornamenti mancati, password deboli, malware e così via.

Questa distinzione è importante in quanto è necessario sapere cosa si sta eseguendo la scansione e non. Poiché non esiste una legge che indichi ai fornitori quale termine usare o non usare, assicurati di dedicare del tempo alla lettura della documentazione fornita con qualsiasi scanner tu scelga. Questo ti aiuterà ad assicurarti di ottenere la copertura di cui hai bisogno.

Comprendere la differenza tra il test della scatola nera e quello della scatola bianca

Quando si tratta di test di vulnerabilità, ci sono due approcci principali: test della scatola nera e test della scatola bianca. Entrambi i metodi hanno i loro vantaggi e svantaggi. Comprendere le differenze tra loro è fondamentale in quanto ti consentirà di capire cosa viene coperto e cosa no da un particolare scanner di vulnerabilità.

Test della scatola nera

Il test di vulnerabilità della scatola nera di WordPress è una tecnica in cui la persona che esegue il test non presuppone la conoscenza del funzionamento interno di WordPress. Durante il test, il tester ha accesso solo agli input e agli output e non si preoccupa di come vengono prodotti gli output. In altre parole, il tester tratta WordPress come una "scatola nera" e lo testa dall'esterno.

Un vantaggio del test della scatola nera è che può essere eseguito da tester che non hanno alcuna conoscenza della programmazione o dell'architettura interna del software. Ciò rende i test della scatola nera accessibili a una gamma più ampia di tester.

Il principale svantaggio del test della scatola nera è che potrebbe non essere in grado di scoprire alcuni tipi di vulnerabilità correlate al funzionamento interno di WordPress.

Test della scatola bianca

Il test della scatola bianca di WordPress è una tecnica di test in cui la persona che esegue il test ha accesso all'architettura, al codice e al design di WordPress. Questo tipo di test è noto anche come test della scatola trasparente o test strutturale.

Un vantaggio del test della scatola bianca è che consente al tester di scoprire bug relativi a WordPress. Può anche essere utilizzato per testare la manutenibilità e la scalabilità del software, qualcosa da cui gli sviluppatori di WordPress e gli sviluppatori di plug-in possono guadagnare molto.

Il principale svantaggio del test white box è che richiede ai tester di conoscere la programmazione e l'architettura interna del software.

Vulnerabilità comuni di WordPress

Mentre le vulnerabilità di WordPress possono presentarsi in tutte le forme e dimensioni, vale la pena notare alcune delle più comuni, che, come vedremo, sono facili da prevenire. Altri possono essere risolti solo dagli sviluppatori che hanno accesso al codice, come mostrato nell'ultimo esempio qui sotto:

Core WordPress obsoleto

Una delle vulnerabilità più comuni in WordPress è un core WordPress obsoleto. Gli aggiornamenti per WordPress vengono rilasciati regolarmente per risolvere problemi di sicurezza, correggere bug e migliorare prestazioni e funzionalità. Gli hacker possono sfruttare le vulnerabilità note se non esegui l'aggiornamento all'ultima versione.

Cosa fare: Avere una politica di aggiornamento di WordPress può aiutarti a gestire meglio gli aggiornamenti di WordPress e assicurarti di eseguire sempre l'ultima versione di WordPress.

Password deboli

Le password deboli possono essere un'altra importante vulnerabilità di sicurezza di WordPress. Molti utenti tendono a utilizzare password deboli facili da indovinare o decifrare poiché è più probabile che le ricordino. Ciò può facilitare agli hacker l'accesso non autorizzato ai siti Web.

Cosa fare: utilizzare una politica sulle password di WordPress per garantire che gli utenti utilizzino password complesse e incoraggiare l'uso di un gestore di password.

Plugin e temi vulnerabili

I temi e i plug-in di WordPress possono migliorare seriamente la funzionalità e l'aspetto di WordPress. Tuttavia, alcuni di questi plugin e temi possono contenere vulnerabilità che possono essere sfruttate dagli hacker.

Cosa fare: utilizzare plugin e temi di fornitori affidabili che rilasciano aggiornamenti regolari e mantenere tutto aggiornato in ogni momento.

Attacchi di forza bruta

Gli attacchi di forza bruta sono un tipo di attacco in cui gli attori malintenzionati tentano di indovinare le credenziali di accesso di un utente provando diverse combinazioni di nome utente e password.

Cosa fare: Aggiungi WordPress 2FA per fermare gli attacchi di forza bruta e limitare il numero di tentativi di accesso falliti.

SQL Injection

Durante l'iniezione SQL, gli hacker inseriscono codice dannoso nel database di un sito Web tramite campi di input dell'utente come voci della barra di ricerca, moduli e commenti. Ciò può comportare l'esposizione di dati sensibili come nomi utente, password e dettagli della carta di credito.

Cosa fare: gli sviluppatori di plug-in affidabili lo elimineranno durante lo sviluppo. Se trovi questa vulnerabilità, dovresti disabilitare il componente che la sta causando, se possibile, fino a quando non sarà disponibile una correzione.

Perché dovresti cercare le vulnerabilità

Come mostrano le statistiche che abbiamo condiviso all'inizio dell'articolo, le vulnerabilità possono essere presenti in qualsiasi software. Se disponi di una solida politica di aggiornamento di WordPress e ti limiti a temi e plug-in di sviluppatori affidabili, è probabile che tu sia al sicuro, tuttavia, questa non è una garanzia. A tal fine, potresti voler eseguire una scansione delle vulnerabilità.

Una scansione delle vulnerabilità può aiutarti a scoprire problemi che potresti aver trascurato e vulnerabilità che potrebbero essere state introdotte in un aggiornamento o in una modifica della configurazione.

I migliori scanner di vulnerabilità di WordPress

In questa sezione, esamineremo alcuni dei migliori scanner di vulnerabilità di WordPress disponibili oggi sul mercato.

WPScan

WPScan è uno scanner di sicurezza gratuito progettato specificamente per WordPress. Controlla le vulnerabilità, con quasi 40.000 vulnerabilità nel suo database. Le nuove voci vengono aggiunte al suo database delle vulnerabilità in modo molto coerente.

WPScan è disponibile come strumento CLI (Command Line Interface). Ciò significa che non esiste una GUI e deve essere eseguito da un terminale. WPScan era disponibile come plug-in gratuito, tuttavia non è più così. Puoi anche utilizzare JetPack, che sfrutta l'API WPScan.

Tra le altre cose, WPScan cerca:

      • Vulnerabilità associate al core, ai plugin e ai temi di WordPress
      • Enumerazione del nome utente e del file multimediale
      • Password deboli (attraverso attacchi di forza bruta)
      • File wp-config accessibili
      • Dump del database
      • Registri di errore esposti

WPSec

WPSec è uno scanner di vulnerabilità di WordPress. È gestito tramite una dashboard da cui è possibile eseguire scansioni, impostare notifiche ed emettere report avanzati. Quando si tratta di scansione, WPSec utilizza quella che chiama Advanced Scan Technology, che utilizza WPScanner e una tecnologia personalizzata proprietaria.
Tra le altre cose, WPSec cerca:

      • Bug noti di WordPress
      • Problemi di sicurezza

Sucuri

Ben noto per il suo WAF (Web Application Firewall), Sucuri offre anche una serie di scanner diversi che eseguono la scansione di cose diverse, fornendo un ambito più ampio che non è necessariamente così profondo come quello offerto da altri scanner.
Tra le altre cose, Sucuri scansiona per:

      • Malware
      • IOC (Indicatori di Compromesso)
      • Pagine di phishing
      • Script DDoS
      • Certificati SSL

Acunetix

Acunetix è una soluzione di Web Application Security Testing che può essere utilizzata anche come WordPress Security Scanner. Poiché non è specifico di WordPress, può essere utilizzato su diversi siti Web, applicazioni e API. Può eseguire sia SAST (Static Application Security Testing) che DAST (Dynamic Application Security Testing).
Tra le altre cose, Acuntiex esegue la scansione di:

      • Core e plugin di WordPress obsoleti
      • Malware
      • Password deboli
      • Nomi utente WordPress vulnerabili
      • Vulnerabilità XML-RPC

Proteggi il tuo WordPress

Uno scanner di sicurezza di WordPress può aiutarti a identificare le minacce alla sicurezza del tuo sito Web WordPress. Tuttavia, l'adozione di misure di sicurezza proattive rimane importante. Mentre dovresti comunque valutare i risultati di una scansione di sicurezza di WordPress, gli amministratori di WordPress e i proprietari di siti web dovrebbero anche capire che la sicurezza di WordPress è un processo iterativo che offre un ROI enorme.

Mantenere tutto aggiornato è uno dei modi più accessibili che gli amministratori hanno a disposizione per limitare le vulnerabilità. WordPress, temi, plugin e PHP dovrebbero essere sempre aggiornati. Non dimenticare di eseguire i backup e utilizzare un ambiente di staging di WordPress per limitare i rischi.

I plugin di sicurezza di WordPress possono anche offrire protezione e tranquillità. I firewall sono sempre una buona opzione; tuttavia, avere un registro delle attività di WordPress può aiutarti a ottenere di più. Allo stesso modo, proteggere la tua installazione di WordPress con 2FA può aiutarti a rimanere ancora più sicuro con il minimo sforzo.

Domande frequenti

Quale strumento posso utilizzare per cercare le vulnerabilità di WordPress?

Uno scanner di vulnerabilità di WordPress è uno dei migliori strumenti che puoi utilizzare per cercare le vulnerabilità. Abbiamo coperto una serie di diversi scanner nell'articolo. Una cosa importante da notare è che diversi scanner possono scansionare cose diverse. Assicurati di leggere la documentazione per capire cosa stai cercando e cosa non stai cercando. Questo ti aiuterà a evitare di avere un falso senso di sicurezza del sito web.

Come posso cercare le vulnerabilità nel mio sito WordPress?

Questo dipende dallo scanner di vulnerabilità che scegli. Alcuni scanner offrono scansioni automatiche e ti invieranno persino un rapporto dei risultati direttamente nella tua casella di posta elettronica. Altri potrebbero richiedere una scansione manuale, in alcuni casi tramite un'interfaccia a riga di comando (CLI).