LiteSpeed Cache è uno dei plugin più installati di WordPress: oltre 7 milioni di installazioni attive secondo wordpress.org. Nel 2024 ha avuto tre falle che permettevano a un visitatore di prendere il controllo di un account amministratore, una delle quali sfruttata in massa. Questo articolo spiega cosa è successo senza ricette di attacco, chi era davvero esposto e cosa verificare se lo usi, anche se è aggiornato.
Un plugin di cache con un accesso privilegiato
Un plugin di cache fa molto più che memorizzare pagine. Per preparare la cache delle pagine riservate ai membri o agli amministratori, LiteSpeed Cache dispone di un bot di scansione (crawler) capace di simulare un ruolo utente: visita il sito come farebbe un utente connesso con quel ruolo. Perché questo bot venga riconosciuto, il plugin usa un token segreto. Se il token è indovinabile o leggibile, chiunque può spacciarsi per il bot, e quindi per un amministratore.
È il punto in comune delle falle del 2024: un meccanismo interno di fiducia, comodo per le prestazioni, protetto in modo insufficiente.
CVE-2024-28000: un token troppo debole
Segnalata il 1o agosto 2024 da John Blackbourn tramite il programma di Patchstack (con una ricompensa di 14.400 dollari, record annunciato per WordPress all'epoca), questa falla colpisce tutte le versioni fino alla 6.3.0.1. Ha un punteggio di 9,8 su 10.
Secondo l'avviso di Patchstack, il token di simulazione veniva generato una sola volta con un generatore di numeri non crittografico, non era legato a un utente e non veniva mai rinnovato. Lo spazio dei valori possibili era abbastanza piccolo da poter essere percorso da un bot, il che permetteva a un visitatore non connesso di ottenere i diritti di un amministratore e di creare il proprio account amministratore. L'attacco presupponeva di conoscere l'ID numerico di un amministratore (spesso 1) e non funzionava su un server Windows.
La versione 6.4, pubblicata il 13 agosto 2024, ha corretto la falla. L'avviso pubblico è uscito il 21 agosto. Secondo BleepingComputer, nei giorni successivi Wordfence bloccava oltre 48.500 attacchi ogni 24 ore contro questa falla. Il rapporto annuale 2024 di Wordfence la classifica come la falla più presa di mira dell'anno in base alle sue regole firewall specifiche.
CVE-2024-44000: cookie in un log pubblico
Qualche settimana dopo, Patchstack ha segnalato una seconda falla (valutata 9,8 dal NIST), di natura diversa. Quando il log di debug di LiteSpeed Cache era attivo, il plugin vi scriveva le intestazioni delle risposte HTTP, compresi i cookie di sessione inviati dopo un login. Questo log si trovava a un indirizzo prevedibile, /wp-content/debug.log. Chiunque potesse leggerlo recuperava cookie validi e poteva accedere come quell'utente, amministratore compreso.
Il punto importante per te: bastava che il log fosse stato attivato una volta e mai svuotato. La versione 6.5.0.1 (4 settembre 2024) sposta il log in una cartella dedicata con nomi casuali e smette di scriverci i cookie. Ma l'aggiornamento non elimina un vecchio file debug.log già riempito.
CVE-2024-50550: di nuovo la simulazione del ruolo
A ottobre 2024 Patchstack ha pubblicato una terza falla di escalation dei privilegi, ancora legata alla simulazione del ruolo, ma sfruttabile solo con certe impostazioni del crawler. Patchstack l'ha valutata 8,1; il NIST, 9,8. La versione 6.5.2 (17 ottobre 2024) ha risolto il problema eliminando completamente il processo di simulazione del ruolo.
| CVE | Tipo | Versioni colpite | Corretta in | Sfruttamento noto |
|---|---|---|---|---|
| CVE-2023-40000 | XSS memorizzata senza autenticazione, usata per creare amministratori | Fino alla 5.7 | 5.7.0.1 (ottobre 2023) | Sì, segnalato da WPScan a maggio 2024 |
| CVE-2024-28000 | Escalation dei privilegi senza autenticazione | Fino alla 6.3.0.1 | 6.4 (13 agosto 2024) | Sì, su larga scala da agosto 2024 |
| CVE-2024-44000 | Presa dell'account tramite il log di debug | Prima della 6.5.0.1 | 6.5.0.1 (4 settembre 2024) | Non documentato nelle nostre fonti |
| CVE-2024-50550 | Escalation dei privilegi a seconda delle impostazioni del crawler | Fino alla 6.5.1 | 6.5.2 (17 ottobre 2024) | Non documentato nelle nostre fonti |
Chi era esposto
Non tutti i siti con il plugin attivo erano esposti allo stesso modo.
- CVE-2024-28000: quasi tutti i siti con una versione non corretta, su un server diverso da Windows. Il plugin si installa anche su server che non sono server LiteSpeed.
- CVE-2024-44000: solo i siti in cui il log di debug del plugin era stato attivato, spesso temporaneamente durante una risoluzione di problemi.
- CVE-2024-50550: solo i siti con una configurazione particolare del crawler.
I tempi hanno giocato contro i siti. BleepingComputer notava a fine agosto 2024 che i download della versione corretta restavano lontani dal numero di installazioni, il che lasciava esposta una grande parte dei siti durante gli attacchi.
Cosa verificare oggi
La versione attuale del plugin corregge queste falle. Ma un aggiornamento non ripulisce un sito compromesso prima di esso. Se il tuo sito ha usato una versione vecchia nel 2024, controlla:
- La versione: Plugin, LiteSpeed Cache. Qualsiasi versione 6.5.2 o successiva corregge le tre falle del 2024; punta all'ultima.
- Gli amministratori: Utenti, filtro Amministratore. Ogni account sconosciuto va esaminato. Nel 2024 WPScan ha segnalato account creati dagli attaccanti con i nomi
wpsupp-userewp-configuser. - I vecchi log: elimina
/wp-content/debug.logse esiste e contiene tracce di LiteSpeed Cache. Verifica che non risponda più dal browser. - Le sessioni: se un log contenente cookie è stato pubblico, disconnetti tutte le sessioni e cambia le password degli amministratori.
- I file: cerca file PHP sconosciuti in
wp-content, in particolare inuploads.
Da allora il plugin ha avuto altre falle, meno gravi (per esempio CVE-2025-12450, una XSS riflessa che colpisce le versioni fino alla 7.5.0.1, valutata 6,1). Ricordano che un plugin molto installato resta un bersaglio privilegiato e va aggiornato rapidamente, preferibilmente in automatico.
| Constatazione | Cosa puoi fare |
|---|---|
| I plugin di cache hanno privilegi elevati | Trattarli come plugin di sicurezza: aggiornamenti rapidi |
| I log di debug possono contenere segreti | Attivarli solo per il tempo di una diagnosi, poi eliminarli |
| Un plugin molto installato attira gli attacchi di massa | Attivare per esso gli aggiornamenti automatici |
| L'aggiornamento non ripulisce | Verificare account, file e sessioni dopo una falla sfruttata |
Con WP Masquerade
WP Masquerade non corregge le falle dei plugin. Funziona con LiteSpeed Cache: lo svuotamento della cache è integrato, e la versione Pro riscrive anche gli indirizzi nelle pagine prodotte da LiteSpeed Cache (vedi compatibilità con hosting e cache). Di fronte a una presa dell'account, l'autenticazione a due fattori della versione Pro non impedisce lo sfruttamento di una falla che aggira il login, ma protegge gli account dal riutilizzo di una password rubata. Gli avvisi via email e il rapporto settimanale aiutano a notare un cambiamento inatteso.
Da ricordare
- Tre falle di LiteSpeed Cache nel 2024 permettevano di diventare amministratore; CVE-2024-28000 è stata la falla WordPress più presa di mira dell'anno secondo Wordfence.
- Versioni da superare: 6.4, 6.5.0.1 e 6.5.2; installa l'ultima versione.
- Un vecchio
debug.logpuò ancora contenere cookie validi: eliminalo. - Controlla l'elenco degli amministratori, in particolare gli account
wpsupp-userewp-configuser. - I plugin di cache meritano gli aggiornamenti automatici.
Fonti
- NVD: CVE-2024-28000 (si apre in una nuova scheda)
- NVD: CVE-2024-44000 (si apre in una nuova scheda)
- Wordfence: 2024 Annual WordPress Security Report (PDF) (si apre in una nuova scheda)
- WordPress.org: plugin LiteSpeed Cache (si apre in una nuova scheda)
Altre fonti consultate: altre schede CVE, articoli della stampa specializzata e database di Patchstack.
