Más de mil sitios que usan WordPress han sido modificados para redirigir a sus visitantes a sitios propagadores de malware, sitios de afiliación y pago por clic y servicios para mejorar resultados en búsquedas de baja calidad, usando la función de actualización automática de WordPress.

El descubrimiento fue realizado por Denis Sinegubko, fundador del sitio web Umask Prasites quien señala lo irónico de que muchos webmasters tratan de mantener sus sitios seguros por medio de actualizaciones automáticas y al mismo tiempo están en riesgo al usarlas.

Los responsables detrás de este ataque han descubierto la manera de agregar código malicioso al archivo de actualización 'update.php', el cual actualiza WordPress automáticamente, mientras el código inyecta otra compilación en el archivo "wp-settings.PHP" y de esta manera se ejecutan las redirecciones.

El documento 'update.php' contiene la función 'wp_update_core', que es usada para actualizar WorPress de forma automática, mencionó Sinegubko.

De forma inadvertida, la función 'wp_update_core' revisa las actualizaciones disponibles, descarga los archivos,  sustituye y termina con el procedimiento necesario para completar las actualizaciones de WorPress, explicó.

Es de suponerse que nuestro Blog esta completamente actualizado antes de que la función reinicie, en ese momento los archivos importantes infectados de WorPress (como wp-settings.php) serán reemplazados con copias nuevas y  limpias,  es en ese instante cuando el código malicioso dentro de 'wp_update_core' comienza a ejecutarse, infectando la nueva actualización y el archivo wp-settings.php:

En cosecuencia, solo los usuarios que tiene activado el modo de actualización automática dentro de sus blogs pueden estar comprometidos a esta amenaza, quienes actualizan manualmente o vía Subversion (SBV) se encuentran seguros.

"Los desarrolladores de WorPress deberían considerar agregar controladores integrales en sus sistema (por control de archivos checksum para documentos centrales de WordPress) y alertar a los webmasters (administradores del blog) si los archivos centrales se han modificado ", concluyó Sinegubko.