DNSC face apel la bloggeri
Directoratul Național de Securitate Cibernetică (DNSC) a emis o avertizare pentru administratorii de site-uri WordPress, în urma descoperirii unei vulnerabilități critice în plugin-ul „W3 Total Cache”. Această defecțiune, identificată ca CVE-2025-9501, afectează peste un milion de site-uri la nivel global și permite atacatorilor neautentificați să execute cod de la distanță pe serverele vulnerabile. "CVE-2025-9501 reprezintă o vulnerabilitate critică cu un scor CVSS (v3.1) de 9.0, ceea ce o face extrem de periculoasă", a declarat un reprezentant al DNSC.
Această vulnerabilitate se manifestă prin modul în care plugin-ul W3 Total Cache procesează tag-urile dinamice "mfunc", utilizând funcția eval() pe conținutul extras din comentarii în condițiile în care Page Cache este activat. Dacă un atacator reușește să introducă astfel de tag-uri într-un comentariu și cunoaște valoarea W3TC_DYNAMIC_SECURITY, el poate executa cod PHP nevalidat pe server, compromițând astfel integritatea site-ului.
Pentru a se putea exploata vulnerabilitatea, trebuie să fie îndeplinite câteva condiții: opțiunea „Page Cache” să fie activată, comentariile publice anonime să fie permise și atacatorul să cunoască valoarea W3TC_DYNAMIC_SECURITY. Toate versiunile plugin-ului W3 Total Cache până la versiunea 2.8.13 sunt afectate. DNSC subliniază importanța actualizării plugin-ului la versiunea corectată (2.8.13+) pentru a preveni atacurile.
Până la aplicarea update-ului, recomandările DNSC includ dezactivarea Page Cache și restricționarea comentariilor anonime ca măsuri temporare pentru reducerea riscurilor. "Publicarea recentă a unui Proof of Concept (PoC) amplifică riscurile, iar timpul de reacție este esențial", au mai precizat specialiștii.
În 2024, România a înregistrat o creștere alarmantă a atacurilor cibernetice, cu peste 40% mai multe fraude raportate comparativ cu anul anterior. Atacurile de tip malware au crescut cu 286,8%, iar instituțiile publice și băncile au fost printre cele mai afectate. Raportul DNSC arată că, în 2024, s-au gestionat peste 100 de incidente de tip ransomware, iar vulnerabilitățile din software au fost exploatate tot mai frecvent.
Compania Electrica a fost recent victima unui atac cibernetic, anunțând activarea tuturor protocoalelor de securitate pentru a proteja infrastructura. „Nu sunt afectate sistemele critice ale grupului, iar eventualele disfuncționalități sunt temporare”, au declarat reprezentanții companiei.
În 2025, un alt incident a avut loc la Orange România, unde datele sensibile ale unor instituții de stat și clienți au fost expuse. Gruparea de criminalitate cibernetică Babuk ransomware a revendicat o scurgere masivă de informații, ceea ce subliniază gravitatea situației.
Impactul acestor atacuri nu afectează doar utilizatorii individuali, ci și instituții publice, primării și companii din sectoare critice, cum ar fi energia și sănătatea. DNSC a subliniat că băncile românești sunt o țintă frecventă, iar infrastructurile critice sunt adesea subfinanțate, ceea ce le face vulnerabile la atacuri.
În concluzie, vulnerabilitatea CVE-2025-9501 reprezintă un risc major pentru site-urile WordPress din România, iar măsurile de prevenire trebuie adoptate urgent.
Administratorii de site-uri sunt sfătuiți să actualizeze plugin-ul sau să implementeze măsuri temporare pentru a limita expunerea la atacuri cibernetice.