Un estudio reciente ha revelado que más del 70% de los sitios web de WordPress accesibles al público utilizan versiones obsoletas de PHP, lo que aumenta considerablemente su vulnerabilidad ante ciberataques. Este hallazgo evidencia una brecha de seguridad creciente en el ecosistema web global, donde millones de sitios dependen de tecnologías backend antiguas a pesar de existir actualizaciones de seguridad regulares.

Un estudio reciente ha revelado que más del 70% de los sitios web de WordPress accesibles al público están ejecutando versiones obsoletas de PHP, lo que aumenta significativamente su exposición a los ciberataques.

Los hallazgos resaltan una brecha de seguridad creciente en el ecosistema web global, donde millones de sitios dependen de tecnologías de backend envejecidas a pesar de la disponibilidad de actualizaciones de seguridad regulares.

WordPress, que impulsa más del 40% de internet, depende en gran medida de PHP como su lenguaje principal del lado del servidor. Aunque la plataforma en sí sigue lanzando actualizaciones, las versiones de PHP del backend suelen quedar descuidadas.

Basándose en datos de más de 316,000 instancias de WordPress con información de versión visible, solo alrededor del 30% están ejecutando una versión de PHP actualizada y compatible.

La mayoría restante opera con versiones que ya han llegado al fin de su vida útil, incluyendo PHP 7.4, que dejó de recibir actualizaciones de seguridad en noviembre de 2022. Este desequilibrio crea un riesgo de seguridad crítico.

Incluso cuando los propietarios de los sitios mantienen el núcleo de WordPress relativamente actualizado, las versiones obsoletas de PHP pueden seguir exponiendo los sistemas a vulnerabilidades conocidas, incluyendo fallos de ejecución remota de código y problemas de omisión de autenticación.

Las versiones obsoletas de PHP exponen los sitios de WordPress

Los atacantes escanean activamente internet en busca de tales debilidades, convirtiendo los sistemas sin parches en objetivos fáciles de explotar. Un ejemplo notable de este panorama de amenazas es la campaña de desfiguración en curso “Hacked by MR.GREEN”.

Los investigadores observaron más de 900 sitios web comprometidos, la mayoría de los cuales ejecutaban WordPress. Estos ataques normalmente reemplazan el contenido legítimo del sitio con mensajes del atacante, demostrando lo fácil que es vulnerar los sistemas desprotegidos.

Aunque el vector de ataque exacto no está claro, muchos de los sitios afectados mostraban signos de software obsoleto, archivos de configuración expuestos como xmlrpc.php y controles de acceso débiles.

El uso generalizado de plugins de WordPress agrava aún más el problema. Los plugins amplían la funcionalidad, pero también introducen superficies de ataque adicionales.

Los datos de Censys muestran que millones de sitios web utilizan plugins, pero muchos no los mantienen actualizados. Incluso plugins populares como Yoast SEO tienen una baja adopción de las versiones más recientes.

Las vulnerabilidades en los plugins, como la omisión de autenticación o fallos de exposición de datos, pueden servir como puntos de entrada para los atacantes si no se parchean.

Otro desafío clave reside en la arquitectura de las plataformas CMS. Actualizar las versiones de PHP no siempre es sencillo, especialmente para los sitios web más antiguos.

Los problemas de compatibilidad, la funcionalidad rota y el miedo al tiempo de inactividad a menudo llevan a los administradores a retrasar o saltarse las actualizaciones por completo. Sin embargo, esta comodidad a corto plazo tiene un coste en la seguridad a largo plazo.

Las configuraciones incorrectas también juegan un papel fundamental en el aumento del riesgo. Los servicios SSH expuestos, los ajustes de autenticación débiles y los puntos de acceso administrativos públicos pueden combinarse con el software obsoleto para crear un entorno altamente explotable.

Los atacantes suelen confiar en herramientas de escaneo automatizadas para identificar estas debilidades a escala. Los expertos en seguridad enfatizan que mantener actualizada la infraestructura del backend es tan importante como actualizar los componentes visibles como los temas y los plugins.

El parcheo regular, la configuración adecuada y el monitoreo proactivo son esenciales para reducir la superficie de ataque. Los hallazgos sirven como recordatorio de que la higiene de la ciberseguridad sigue siendo un desafío persistente.

En un entorno donde las amenazas evolucionan constantemente, no actualizar tecnologías centrales como PHP deja a una vasta parte de internet vulnerable a ataques oportunistas.