Un análisis realizado por especialistas de seguridad de las consultorías WP WhiteSecurity y EnableSecurity del Reino Unido, encontró que la falta de actualizaciones está dejando un gran número de sitios web de WordPress abierto a la explotación de campañas de ciberdelincuentes.

El estudio realizado por 3 días a 42 mil 106 sitios de WordPress que figuran en el listado del millón de sitios más populares emitido por Alexa (empresa que realiza analítica web y que informa respecto a los sitios más populares a nivel global), reveló que 74 versiones del software están en uso y que sólo el 18.5% de los equipos evaluados habían actualizado a la última versión 3.6.1.

Dado que el estudio se llevó a cabo el 12 de septiembre, sólo un día después de que fuera liberada la última versión, no es una sorpresa se hayan encontrado pocos sitios WordPress actualizados. Lo que resulta preocupante es la prevalencia de versiones anteriores vulnerables. Un total de 6 mil 859 sitios estaban utilizando la versión 3.5.1 (con 8 vulnerabilidades conocidas), 2 mil 204 estaban utilizando la versión 3.4.2 (12 vulnerabilidades), y mil 655 con la versión 3.5 (10 vulnerabilidades).

De acuerdo a la consultora WhiteSecurity, esto significa que 73.2% de los sitios más populares y que usan WordPress son vulnerables y dichas vulnerabilidades son fácilmente identificables utilizando herramientas automatizadas libres.

Un atacante solo necesitaría un par de minutos para ejecutar una herramienta que le permita descubrir estas vulnerabilidades y explotarlas.

Parte del problema es que surgen nuevas versiones de WordPress en la misma cantidad que vulnerabilidades. Otro factor es la oposición a la actualización del software para evitar fallas en los sitios web e incompatibilidad con plugins. Además muchos blogs no son suficientemente asegurados con contraseñas robustas.

La necesidad de actualizar la versión de la aplicación y de esa manera mejorar la seguridad de los sitios, es en gran parte debido a que se ha reportado que una gran botnet comprometió sitios de alto perfil que hacen uso de esta aplicación,  incluidos el blog Mercury Science and Policy del MIT, el fondo nacional de las artes (arts.gov), la página de la Universidad Estatal de Pennsylvania y la página del Instituto de Tecnología Stevens que fueron utilizados para lanzar ataques.