¿Es fácil Hackear Joomla?

La respuesta rápida es NO. Para hackear Joomla se requieren una serie de condiciones muy específicas. Joomla es un gestor de contenido que suele tener unas estrictas medidas de eseguridad en su desarrollo. Si bien es cierto que se han encontrado vulnerabilidades en todas sus versiones, es más seguro de lo que pensamos.
En la gran mayoría de vulnerabilidades que se encuentran en Joomla, estas no son propias del Gestor de contenidos, si no de módulos, componentes o plugin de terceros. Por este motivo es más complicado vulnerar Joomla. Cuando se lanza un scan con Joomscan, las vulnerabilidades encontradas, por lo general, son siempre en versiones muy antiguas, y en componentes también muy antiguos.
Si un webmaster tuviera su sitio web montado con Joomla, y este estuviera debidamente actualizado, no tendría porqué preocuparse de que algún individuo tomase control de su página.
Hace mucho tiempo, en la versión 1.5 de Joomla yo mismo pude sufrir un Defacement. Cuando lo hicieron el susto es bastante grande ya que lo primeros que ves es una imagen enorme en tu página principal, de un grupo de hackear. El miedo te lleva a pensar que tal vez se adueñaron de algo más, además del defacement que hicierons. Tras investigar un poco descubrí que eran unos “hacker” un poco peculiares, se dedicaban a buscar ciertas vulnerabilidaes en Joomla a través de Google, y así defacementar el mayor número de sitios posibles.
Tras actualizar mi Joomla, todo quedó solucionado.
Por otra parte visto desde el punto de vista de un hacker, atacar a un sitio web concreto montado con Joomla y utillizando Joomscan, es mucho más complicado de lo que se cree.
Haciendo unas pruebas de estrés contra un Joomla con la versión 1.5, reportó tan solo 3 vulnerabilidades. Teniendo en cuenta que Joomla ya está por la versión 3, son muy pocas.

Imagen 1: Vulnerabilidades encontradas en Joomla 1.5 con Joomscan

Sin nos fijamos en las vulnerabildiaes encontradas, la primera de ellas hace referencia a un Bypass en un componente para enviar mails, pero para esto debemos de disponer de una cuenta de usuario. En la segunda vulnerabilidad se necesita también una cuenta de usuario, ya que afecta a TinyMCE, que si no me falla la memoria es un plugin para hacer el editor de artículos más potente. Por tanto también quedaría descartada.
Por último tenemos una vulnerabilidad Cross Site Request Forgery que afecta a la parte de la administración. Esta sería de las tres la más crítica si no fuera porque es la que más desarrollo lleva y porque afecta a la versión 10.3. Por lo que también queda descartado.

En definitiva, un componente Jooma bien actualizado es bastante seguro. Eso no significa que haya una persona esperando a que nuestro componente “X” esté desactualizado para aprovecharse de “X” vulnerabilidad. Así es como funcionan mucho de los ataques que se producen en Internet.