Trobar una versió vulnerable converteix el plugin en una entrada plausible, però no prova que tots els canvis maliciosos hi arribessin. Després d’accedir, un atacant pot crear administradors, tasques i fitxers fora de la seva carpeta.
Conserva versió i peticions i reconstrueix tot el límit de confiança.
Registra el component afectat
Captura nom, font, versió, estat i hash o llistat abans d’actualitzar o eliminar. Anota primera activitat maliciosa i última hora coneguda com a correcta.
No executis el plugin vulnerable en un staging públic per reproduir l’atac. Desa una còpia restringida sense executar-la. Comprova si estava actiu, actiu en xarxa o simplement instal·lat.
Confirma que la vulnerabilitat s’aplica
Llegeix l’avís del fabricant o una font fiable: versions, autenticació necessària i impacte. Compara’l amb versió i configuració.
Una vulnerabilitat que exigeix administrador explica pitjor un atac anònim llevat que ja s’hagués robat un compte. Que un exploit públic aparegués després tampoc prova causalitat. Separa evidència i nivell de confiança.
Correlaciona registres d’accés
Busca peticions a rutes del plugin, accions AJAX, REST o fitxers pujats durant l’inici. Conserva mètode, ruta, estat i hora sense copiar cossos amb dades personals.
Correlaciona-les amb fitxers modificats, usuaris creats i xarxa o correu sortint. Una IP no atribueix identitat. Si falten logs, declara aquesta limitació.
Contén la ruta vulnerable
Desactiva o retira el plugin d’execució pública, o bloqueja’n l’endpoint en una capa fiable. Si sosté checkout o membresia, ofereix manteniment o alternativa segura.
No l’actualitzis simplement assumint que ha desaparegut l’atacant. L’actualització tanca una via, no la persistència existent. Revisa webs germanes amb el mateix component o credencials.
Busca persistència posterior
Revisa administradors, contrasenyes d’aplicació, mu-plugins, tasques, wp-config.php, arrencada d’arrel, PHP a uploads o memòria cau i opcions o widgets.
Examina usuaris de hosting, claus SFTP/SSH, correu, DNS i cron si permetia executar codi. Rota secrets de base i aplicació des d’un dispositiu net. Conserva IDs i fitxers abans de retirar-los.
Substitueix codi des de fonts fiables
Instal·la nucli, plugins i temes nets en una arrel nova o substitueix components després de capturar. Valida desenvolupament propi i uploads a part.
Si el plugin està abandonat, elimina’l i migra la funció a una alternativa mantinguda. No utilitzis una suposada versió corregida d’un arxiu no oficial. Importa únicament base i contingut avaluats.
Revisa dades creades pel plugin
Els plugins de fitxers, formularis o importació poden desar dades fora de la seva carpeta. Inventaria uploads, taules pròpies, tasques i temporals.
No esborris aquests llocs juntament amb el plugin fins a avaluar registres de negoci i evidències. Reconstrueix allò necessari al reemplaçament i bloqueja execució directa a uploads. Rota API i webhooks si el codi podia llegir-los.
Avalua l’impacte
Determina què permetia la vulnerabilitat i què mostren els logs. Eleva una possible exposició de clients o comandes pel procés d’incidents.
Reconcilia comandes, formularis i correu de l’interval. No concloguis que no hi va haver accés perquè no veus una exportació. Les decisions de remediació i notificació corresponen a responsables autoritzats.
Verifica i monitoritza
Prova la funció substituta, login, formularis, checkout, cron i correu. Confirma que no hi ha comptes o tasques desconegudes ni paquets vulnerables en altres webs.
Monitoritza fitxers, accions privilegiades i peticions a l’endpoint antic. Documenta l’entrada probable amb evidència i incertesa. Si permetia executar codi o l’interval és incert, demana rescat compartint avís, versió i logs censurats, mai payloads ni dades.
Mantén l’alerta durant diversos cicles de cron, còpies i activitat comercial. Una petició bloquejada a l’endpoint antic no significa reinfecció, però una modificació de fitxers o un compte nou exigeix tornar a contenir i investigar.