Un paio di aneddoti, freschi di giornata, un paio di telefonate ricevute stamattina di gente disperata che ha trovato il mio recapito su queste pagine, cercando una soluzione ai loro problemi.
Questo venerdì inizia davvero bene…
WordPress Security, Case History 1
Un tale mi chiama disperato di buonora, proprio mentre stavo sorseggiando il caffè.
Gli hanno sicuramente bucato il suo sito, rimanda ad una pagina sconosciuta, mi dice lui nel panico. Si tratta di un e-commerce, i suoi soci sono incazzati neri e deve risolvere tutto prima possibile.
Apro il browser all’indirizzo del sito e mi scappa da ridere.
Per fartela breve, non aveva rinnovato il nome di dominio alla scadenza perché al momento della registrazione aveva indicato una mail di libero.it, che poi nel frattempo ha cambiato, e non ha mai ricevuto gli avvisi di scadenza del dominio.
WordPress Security, Case History 2
Poco dopo mi chiama una seconda persona, che si collega regolarmente al suo sito WordPress ma il suo utente amministratore non è più tale, non può più modificare niente.
Lui è uno attento alla sicurezza, mi dice, tanto da aver installato diversi plugin per mettersi al riparo.
Guardo nel database, e in effetti l’utente indicato è effettivamente un utente amministratore, ma di fatto non si comporta come tale.
Guardo nei file e verifico che davvero ha installato numerosi plugin per la sicurezza, praticamente tutti quelli che ha trovato, incurante del fatto che alcuni erano abbandonati da anni.
Guardo meglio, e scopro che i permessi di file e cartelle sono assolutamente sballati, molte cartelle hanno i permessi a 777, aperti cioè a tutto il mondo, chiunque poteva metterci dentro qualsiasi porcheria.
E difatti, in giro per il sito trovo numerosi files e cartelle che non dovrebbero esserci, files che rimandano a siti di e-commerce di farmaci sudamericani e numerose altre porcherie.
Violazioni che, a giudicare dalle date, sono state numerose negli ultimi anni (nonostante una dozzina di plugin per la sicurezza…)
Questo venerdì inizia davvero bene…
