WordPress ha publicat la versió 7.1.4, una actualització de seguretat que corregeix 22 vulnerabilitats. La més greu afecta el mateix procés d’actualització i, en determinades condicions, permetria executar codi al servidor. Si la teva botiga o el teu web corporatiu funciona amb WordPress o WooCommerce, cal aplicar-la aquesta setmana. I és una bona ocasió per revisar una cosa més important que el pegat: qui manté el teu web i com.
Què corregeix exactament
L’actualització es va publicar el 28 d’octubre i s’ha aplicat també a totes les versions que continuen rebent pegats de seguretat, fins a la 4.7. Això vol dir que alguns d’aquests errors feia anys que eren oberts en moltíssims webs. S’agrupen en tres tipus:
- El procés d’actualització. És l’error més seriós: durant el breu interval en què el web s’actualitza, un atacant podria, en determinades condicions, executar codi al servidor i fer-se’n amb el control. El moment de posar-se al dia també és un moment d’exposició si no es fa de manera controlada.
- Codi maliciós desat en el contingut. És el que tècnicament s’anomena XSS emmagatzemat, i apareix en molts llocs: blocs de l’editor (categories, imatges, llistes de reproducció, paginació de comentaris), el personalitzador del tema, les sol·licituds d’esborrament de dades personals i fins i tot els noms d’usuari. El patró sempre és el mateix: algú amb un compte, sovint de nivell col·laborador, deixa codi que s’executa quan un administrador obre aquella pàgina. Amb això pot robar la sessió de l’administrador i actuar en nom seu.
- Informació visible quan no hauria de ser-ho. Canvis de disseny encara no publicats que podia veure qualsevol visitant i notes internes accessibles a usuaris sense permís sobre aquell contingut. A la pràctica: el redisseny d’una campanya o una promoció que encara no s’ha anunciat.
La versió també renova els certificats arrel que WordPress fa servir per connectar-se de manera segura amb altres serveis, després de la revocació d’una autoritat de certificació. Els webs amb les actualitzacions automàtiques activades la rebran sols, però en moltes empreses estan desactivades, precisament per por que es trenqui alguna cosa.
Un detall que diu molt
Dos dels errors els ha comunicat un laboratori d’intel·ligència artificial. No és una anècdota: la IA està accelerant la recerca de vulnerabilitats, i això vol dir més avisos i més seguits. Actualitzar «quan hi hagi temps» o un cop l’any ja no és una opció raonable per a un web que ven.
Per què importa al teu negoci
Vendes. Una botiga compromesa sol acabar fora de línia mentre es neteja, o marcada com a perillosa pels navegadors i els cercadors. Cada dia sense vendre té un cost directe i un altre que dura més: la confiança dels clients.
Dades i obligacions legals. Una intrusió en un web amb dades de clients obliga a gestionar l’incident, notificar-lo si escau i donar explicacions. L’esforç intern i el dany reputacional superen amb escreix el que costa mantenir la plataforma al dia.
Accessos oblidats. Que molts d’aquests errors exigeixin un compte és una bona notícia a mitges. En moltes empreses mitjanes continuen actius usuaris d’antigues agències, col·laboradors puntuals o treballadors que ja no hi són. Cadascun d’aquests comptes és una porta.
Què convé comprovar aquesta setmana
- Que el web és a la 7.1.4 (o a la versió corregida de la seva branca) i que, després d’actualitzar, el catàleg, el carretó, el pagament i els correus de comanda funcionen.
- Qui té compte. Eliminar els que sobren i exigir doble factor als administradors.
- Qui n’és responsable. Si la resposta és «ningú en concret» o «l’agència que el va fer», el problema no és aquesta actualització, sinó la següent.
Com ho enfoquem a TRILOGI
El nucli de WordPress gairebé mai no és el que falla. Als webs que revisem, el risc és al voltant: plugins que ningú no actualitza des de fa anys, temes modificats que impedeixen actualitzar sense trencar el disseny, extensions de WooCommerce de proveïdors que ja no existeixen i comptes d’administrador compartits per mitja empresa.
Per això, quan una empresa ens demana ajuda després d’un avís com aquest, no ens quedem en el pegat. Fem un inventari de tot el que té instal·lat el web i del seu estat de manteniment, marquem quines peces són un risc o sobren i deixem un calendari d’actualitzacions amb responsables. A partir d’aquí, el nostre equip de Customer Care pot assumir el manteniment amb temps de resposta pactats, perquè el proper avís sigui un tràmit i no una urgència.
Cada dimarts, les 5 notícies que importen: subscriu-te a la newsletter.
