Detalhes sobre a vulnerabilidade CVE-2024-10924
Recentemente, foi descoberta uma vulnerabilidade no plugin Really Simple Security, utilizado para implementar autenticação de dois fatores em sites WordPress. A falha, identificada como CVE-2024-10924, permite que atacantes ignorem o processo de autenticação e assumam o controle de contas legítimas, incluindo usuários com privilégios administrativos.
A gravidade dessa vulnerabilidade, classificada com pontuação CVSS 9.8, se dá pela possibilidade de invasores obterem acesso total ao site. A falha ocorre devido a um problema no sistema de autenticação do plugin, e a exploração já foi demonstrada em provas de conceito disponíveis no GitHub. Pesquisadores da Wordfence, responsáveis por descobrir essa brecha, afirmaram que esta é a falha mais crítica que encontraram em mais de uma década de atuação no setor de segurança do WordPress.
Quem está em risco?
A vulnerabilidade afeta tanto os usuários da versão gratuita quanto da versão paga do plugin Really Simple Security nas versões entre 9.0.0 e 9.1.1.1. No entanto, o risco só é potencializado quando a funcionalidade de autenticação de dois fatores está ativada — configuração que, embora desativada por padrão, é um dos principais motivos pelos quais usuários optam pelo plugin.
Graças à popularidade da versão gratuita, o plugin está presente em aproximadamente quatro milhões de sites, aumentando a escala do problema.
Como se proteger?
Para mitigar o risco, é fundamental atualizar o plugin para a versão 9.1.2, que corrige a vulnerabilidade. Caso a atualização não seja possível, é recomendado desativar a funcionalidade de autenticação de dois fatores — embora isso reduza a segurança do site.
Administradores de sites também devem verificar no painel de controle do WordPress se a atualização foi aplicada, já que o WordPress.org ativou um mecanismo de atualização automática para esse plugin. O desenvolvedor do Really Simple Security também disponibiliza orientações sobre como resolver problemas caso a atualização automática falhe.
Mesmo após a correção, é aconselhável revisar a lista de usuários administradores para garantir que nenhuma conta desconhecida ou maliciosa tenha sido adicionada.
Essa vulnerabilidade destaca a importância de manter todos os plugins atualizados e monitorar constantemente a segurança de sites WordPress.
