Joomla! se enfrenta a un nuevo exploit de día cero para algunas versiones anteriores

Joomla! el popular gestor de contenidos web CMS, se enfrenta a una vulnerabilidad de día cero que puede perjudicar a miles de sitios web de todo el mundo.

La nueva vulnerabilidad descubierta afecta a las versiones que se encuentran entre 3.0.0 y la 3.4.6, es decir, las lanzadas entre septiembre del 2012 y octubre del 2015.

Para otro tipo de soluciones web hablaríamos de una vulnerabilidad antigua, pero no en el caso de Joomla!, muchos de los administradores web se resisten a actualizar la versión por diversos motivos, pero principalmente con las incompatibilidades que se presentan en cada actualización con las extensiones y plugins.

Al parecer explotar esta nueva vulnerabilidad resulta bastante sencillo, casi trivial. Basta una inyección de código PHP en la misma página login de la aplicación, para que un atacante pueda ejecutar a continuación código de forma remota en el servidor.

Como indican en ZDnet, esta vulnerabilidad recuerda a la conocida CVE-2015-8562 un conocido exploit descubierto en 2015 y que causó serios problemas en cientos de webs de todo el mundo. La principal diferencia es que en este caso el número potencial de páginas afectadas sería inferior ya que mientras que esta afecta solo a las versiones comprendidas en la rama 3.x, la anterior incluía desde las 1.5x hasta las 3.x.

Pese a ello en este caso el impacto sería mayor, ya que a diferencia de la anterior, la vulnerabilidad es independiente a la versión de PHP que utilice el servidor.

La buena noticia en todo asunto es que al parecer la vulnerabilidad ya ha sido parcheada pero eso sí, todos los administradores de estos sites deberían actualizar su CMS a cualquier versión de Joomla! 3.4.7 o posterior (la versión actual es la 3.9.12).

Referencia al Sitio Oficial Joomla!