Por que o WordPress 6.6.1 foi sinalizado por malware Trojan #ÚltimasNotícias

Vários relatos de usuários surgiram alertando que a versão mais recente do WordPress está disparando alertas de trojan e pelo menos uma pessoa relatou que um host da web bloqueou um site por causa do arquivo. O que realmente aconteceu se transformou em uma experiência de aprendizado.

Antivírus sinaliza Trojan no download oficial do WordPress 6.6.1

O primeiro relatório foi registrado nos fóruns de ajuda oficiais do WordPress.org, onde um usuário relatou que o antivírus nativo do Windows 11 (Windows Defender) sinalizou que o arquivo zip do WordPress que ele havia baixado continha um trojan.

Este é o texto da postagem original:

“O Windows Defender mostra que o último wordpress-6.6.1zip tem o vírus Trojan:Win32/Phish!MSR quando tento fazer o download do site oficial do wp

ele mostra a mesma notificação de vírus ao atualizar de dentro do painel do WordPress do meu site

Isto é um falso positivo?”

Eles também postaram capturas de tela do aviso do trojan que listava o status como “Falha na quarentena” e que o arquivo zip do WordPress da versão 6.6.1 “é perigoso e executa comandos de um invasor”.

Captura de tela do aviso do Windows Defender

Outra pessoa afirmou que também estava tendo o mesmo problema, observando que uma sequência de código dentro de um dos arquivos CSS (código de estilo que controla a aparência de um site, incluindo cores) era o culpado que estava acionando o aviso.

Eles postaram:

“Estou enfrentando o mesmo problema. Parece ocorrer com o arquivo \wp-includes\css\dist\block-library\style.min.css. Parece que uma string específica no arquivo CSS está sendo detectada como um vírus Trojan. Gostaria de permitir, mas acho que devo esperar por uma resposta oficial antes de fazer isso. Alguém pode fornecer uma resposta oficial?”

“Solução” inesperada

Um falso positivo geralmente é um resultado que testa como positivo quando na verdade não é positivo para o que está sendo testado. Os usuários do WordPress logo começaram a suspeitar que o alerta do vírus trojan do Windows Defender era um falso positivo.

Um ticket oficial do WordPress GitHub foi registrado onde a causa foi identificada como uma URL insegura (http versus https) que é referenciada de dentro da folha de estilo CSS. Uma URL não é comumente considerada parte de um arquivo CSS, então pode ser por isso que o Windows Defender sinalizou esse arquivo CSS específico como contendo um trojan.

Aqui está a parte em que as coisas tomaram um rumo inesperado. Alguém abriu outro ticket do WordPress GitHub para documentar uma correção proposta para a URL insegura, o que deveria ter sido o fim da história, mas acabou levando a uma descoberta sobre o que realmente estava acontecendo.

A URL insegura que precisava ser corrigida era esta:

Então, a pessoa que abriu o tíquete atualizou o arquivo com uma versão que continha um link para a versão HTTPS, o que deveria ter sido o fim da história, não fosse uma nuance que foi esquecida.

A URL (‘insegura’) não é um link para uma fonte de arquivos (e, portanto, não é insegura), mas sim um identificador que define o escopo da linguagem Scalable Vector Graphics (SVG) dentro do XML.

Então, o problema acabou não sendo algo errado com o código do WordPress 6.6.1, mas sim um problema com o Windows Defender que não conseguiu identificar corretamente um “namespace XML” em vez de sinalizá-lo erroneamente como uma URL com link para arquivos para download.

Remover

O alerta de arquivo trojan falso positivo do Windows Defender e a discussão subsequente foram um momento de aprendizado para muitas pessoas (inclusive eu!) sobre um conhecimento relativamente obscuro de codificação referente ao namespace XML para arquivos SVG.

Leia o relatório original:

Problema de vírus: wordpress-6.6.1.zip mostra um vírus do Windows Defender

Imagem em destaque por Shutterstock/Netpixi