Notas sobre este mu-plugin:

• El fragmento bloquea la acción específica para los usuarios que no pueden instalar plugins; es intencionadamente estrecho para evitar una interrupción más amplia.
• Registra los intentos bloqueados en el registro de errores de PHP para detección y revisión forense.
• Es reversible: elimina el archivo para restaurar el comportamiento original después de aplicar la solución del proveedor.
• Prueba en un entorno de staging si es posible antes de desplegar en producción, especialmente en configuraciones multisite complejas.

Reglas y firmas de WAF para bloquear la explotación

Si operas un firewall de aplicación web o tienes un WAF a nivel de hosting, añade firmas que apunten a la acción vulnerable y restrinjan los flujos de instalación de plugins para sesiones no administrativas. Ejemplo de lógica de detección:

• Bloquear solicitudes a /wp-admin/admin-ajax.php que incluyan action=exactmetrics_connect_process cuando la sesión no es un administrador.
• Bloquea o desafía las solicitudes que desencadenan la descarga/subida de plugins inmediatamente después del proceso de conexión.
• Limita la tasa de los puntos finales de instalación de plugins por cuenta autenticada.

Ejemplo de pseudo-regla:

Coincidir: La ruta de la solicitud contiene "/admin-ajax.php" Y el parámetro "action" es igual a "exactmetrics_connect_process"

Si tu WAF no puede determinar de manera confiable el rol del usuario a partir de las cookies de sesión, prefiere bloquear solicitudes no autenticadas que contengan el parámetro de acción vulnerable y limitar la tasa de solicitudes autenticadas.

Pasos de detección y forense (qué verificar)

Audita rápidamente y busca evidencia de explotación:

1. Nuevos directorios de plugins — verifica wp-content/plugins/ si hay carpetas creadas recientemente (usa el mtime del archivo).
2. Lista de plugins activos — inspeccionar active_plugins en wp_options para entradas inesperadas.
3. Archivos desconocidos o modificados — busca archivos PHP sospechosos en uploads, plugins y themes; busca código ofuscado y funciones como eval or base64_decode.
4. Cambios de usuario — buscar nuevos usuarios administradores o cambios en las capacidades en wp_users and wp_usermeta.
5. tareas de Cron — listar trabajos programados y buscar eventos desconocidos que podrían restaurar código malicioso.
6. Registros de acceso — grep registros del servidor web para solicitudes a admin-ajax.php?action=exactmetrics_connect_process y correlacionar con la actividad de instalación de plugins.
7. Copias de seguridad — comparar copias de seguridad/instantáneas recientes para identificar cuándo ocurrieron los cambios.

Lista de verificación de respuesta a incidentes si encuentras signos de compromiso

1. Llevar el sitio fuera de línea o ponerlo en modo de mantenimiento para limitar más daños.
2. Preservar registros (servidor web, PHP, base de datos, WAF) para análisis forense.
3. Rotar contraseñas para cuentas de Administrador y Editor; rotar claves API y credenciales de terceros utilizadas por el sitio.
4. Eliminar plugins sospechosos y revertir a copias de seguridad tomadas antes de la violación — pero solo después de confirmar que las copias de seguridad están limpias.
5. Eliminar usuarios desconocidos y tareas programadas sospechosas.
6. Realizar una revisión exhaustiva del código y un escaneo de malware; buscar patrones comunes de puerta trasera.
7. Si la recuperación es compleja, considerar una reinstalación limpia del núcleo de WordPress y temas, y restaurar solo archivos de plugins verificados de fuentes confiables.
8. Después de la recuperación, endurecer cuentas y monitorear por recurrencias durante al menos 30 días.

Endurecimiento a largo plazo y controles operativos

Controles prácticos para reducir el riesgo futuro:

• Hacer cumplir el principio de menor privilegio: otorgar el rol de Editor solo donde sea absolutamente necesario; crear roles específicos para colaboradores.
• Eliminar capacidades de instalación/activación de plugins de roles no administrativos. Ejemplo:

$role = get_role( 'editor' );

• Utilizar implementaciones por etapas y políticas de parches rápidos: aplicar actualizaciones de seguridad del proveedor de manera oportuna.
• Fortalecer la seguridad de la cuenta: contraseñas fuertes, autenticación de dos factores para Editor+, y restricciones de IP o dispositivo para cuentas sensibles cuando sea posible.
• Monitorear y alertar sobre instalaciones de plugins, nuevos usuarios administradores y solicitudes admin-ajax/REST que toquen los puntos finales del instalador.
• Implementar monitoreo de integridad de archivos para detectar cambios inesperados en plugins, temas y cargas.
• Limitar el acceso de escritura a los directorios de plugins a nivel de host cuando sea factible, y utilizar procesos de implementación para actualizaciones legítimas.
• Mantener copias de seguridad inmutables y probar los procedimientos de restauración periódicamente.

Dónde obtener ayuda profesional (orientación neutral)

Si careces de capacidad interna para investigar o recuperarte de un incidente, considera contratar a una consultoría de respuesta a incidentes o seguridad de buena reputación. Al seleccionar un proveedor, verifica:

• Experiencia con la respuesta a incidentes de WordPress y flujos de trabajo forenses.
• Alcance claro, entregables y procedimientos de preservación de registros.
• Referencias o estudios de caso que demuestren recuperaciones similares.
• Neutralidad con respecto a proveedores de hosting y plugins (evitar proveedores que tengan conflictos de interés claros para la tarea).

Notas finales y lectura recomendada

• Parchear primero: el parche del proveedor (ExactMetrics 9.1.3+) soluciona la causa raíz; aplícalo lo antes posible.
• Desplegar el parche virtual mu-plugin si debes retrasar las actualizaciones — es reversible y de bajo riesgo.
• Rotar credenciales si detectas actividad sospechosa, y monitorear nuevos plugins instalados y usuarios administradores desconocidos durante al menos 30 días después del parcheo.

Apéndice: Lista de verificación rápida (copiar-pegar)

Este aviso está escrito para ser inmediatamente accionable. Si necesita ayuda práctica, contrate a un proveedor de respuesta a incidentes calificado con experiencia en WordPress. En Hong Kong, espere tiempos de respuesta rápidos y documentación clara de los pasos forenses al contratar dichos servicios.