Detectado el cómo se realizó el hackeo a los Blogs de WordPress

Aunque probablemente, fuésemos nosotros desde MarlexSystems quienes dimos el cómo reparar el problema antes que muchos en Internet, y publicándolo en los foros de WordPress, mucha gente se ha hecho eco de este problema de Seguridad en donde, tacañamente, en algunos blogs hemos visto que se auto-atribuyen la forma de corregir los bugs cuando la han obtenido de los foros en los que las hemos publicado.

Preguntando y revisando por ahí nos encontramos cómo fue posible que los Blogs de WordPress que muchos conocemos -incluido este- fueron hackeados, y se basa en una función de WordPress que viene en el wp-admin/options.php dentro del Panel de Administrador.

Esto sucede, porque al parecer en las versiones antiguas de WordPress 2.5, TODOS los usuarios tenían permisos de actualizar cualquier configuración de WordPress teniendo una cuenta en el Blog y usando la función manage_options. lo mejor es bloquear posibles usuarios fantasmas de WordPress y cuentas de usuario que no uses.

Aunque de momento, más soluciones no se han encontrado a las que hemos publicado nosotros en los foros de soporte de WordPress, lo mejor es actualizar a la última versión -en los foros de Soporte tenemos la discusión de si la última versión de WordPress también se ve afectada o no- aunque no se sepa si esta es hackeable y, por supuesto, seguir los pasos que nosotros hemos publicado –en inglés en los foros de WordPress– en este blog.

Hacemos la rectificación pública de la Publicación hecha por TechTear que copió el cómo resolver el hackeo desde nuestro Post en WordPress Support, a que le falta el paso principal que es desactivar el plugin/imagen que se encuentra en el Blog hackeado.

Gracias a Alex y Armonth por hacerse eco y por colaborar en resolver las dudas.