WordPress dodaci i teme mogu imati ranjivosti: kako osigurati svoju web stranicu

Kao daleko najpopularniji sustav za upravljanje sadržajem, WordPress pokreće milijune različitih web stranica. To je softver otvorenog koda, što znači da je njegov izvorni kod javno dostupan i može ga mijenjati gotovo svatko s dovoljno znanja.

Iako se WordPress dodaci i teme mogu kupiti, deseci tisuća njih dostupni su besplatno. Kao što se moglo očekivati, ovo ne dolazi bez svojih nedostataka. Dakle, koliko su WordPress stranice ranjive? Što je s njegovim temama i dodacima? I kako možete zaštititi svoje stranice?

Koliko je WordPress ranjiv?

U veljači 2022. Ruksak za letenje otkrili da su popularne teme i dodaci dobavljača AccessPress Themes (također poznati kao pristupni ključevi) ugroženi. Istraživači su slučajno uočili ranjivost, nakon što su otkrili sumnjivi kod na kompromitiranoj web stranici. Nakon daljnje istrage, shvatili su većinu dodataka za AccessPress i svaka je tema sadržavala isti kod.

Kasnije se ispostavilo da su AccessPress teme postale žrtva kibernetičkog napada u rujnu 2021., s hakerima koji su ubacili backdoor u dodacima dobavljača i teme.

AccessPress je na kraju ažurirao i očistio svoje proizvode, ali vjerojatno su tisuće korisnika bile ranjive na napade dulje vrijeme.

Imaju li WordPress dodaci i teme ranjivosti?

Nalazi Jetpacka naglašavaju koliko WordPress može biti ranjiv. Ali ovo nije bio izoliran slučaj.

U ožujku 2021. npr. Wordfence otkrio velike ranjivosti u dva WordPress dodatka koji bi, ako bi bili uspješno iskorišteni, omogućili napadaču da preuzme web stranicu. Ranjivosti su otkrivene u dodacima Elementor i WP Super Cache. Elementor je graditelj web stranica koji se koristi na više od sedam milijuna web stranica, dok je WP Super Cache popularni dodatak za predmemoriju.

U veljači 2022. kao Dnevnik tražilice izvijestili su, baza podataka o ranjivosti vlade Sjedinjenih Država i istraživači sigurnosti WordPressa upozorili su na ozbiljne ranjivosti u desecima WordPress dodataka.

Od tih dodataka, devet je korišteno na više od 1,3 milijuna web-mjesta: Upravitelj koda u podnožju zaglavlja, Umetač oglasa—Ad Manager i AdSense oglasi, Izrada skočnih prozora, Anti-Malware Sigurnost i vatrozid brutalne sile, zaštita od kopiranja WP sadržaja i bez desnog klika, sigurnosna kopija baze podataka za WordPress, GiveWP, upravitelj preuzimanja i napredna baza podataka Čistač.

Kako osigurati svoju WordPress stranicu

Pretpostavilo bi se da se te ranjivosti uvijek popravljaju ili uklanjaju kada se otkriju, ali to zapravo nije slučaj.

Istraživanje iz Patchstack otkrili su da je 2021. zabilježen porast prijavljenih ranjivosti WordPressa za 150 posto u odnosu na 2020. – a 29 posto tih ranjivosti nije dobilo zakrpu. Patchstack je također otkrio da je samo 0,58 posto prijavljenih nedostataka u WordPress jezgri, što znači da se ranjivosti gotovo uvijek nalaze u dodacima.

Važno je osigurati da su svi dodaci koje koristite ažurni, kao i sama WordPress jezgra.

Prije preuzimanja i instaliranja dodatka, svakako prvo malo istražite. Provjerite koliko je dodatak instaliran, pročitajte recenzije na mreži, pogledajte kada je zadnji put ažuriran i provjerite je li testiran s najnovijom WordPress jezgrom. To će potrajati samo nekoliko minuta, ali bi vas moglo spasiti od mnogih nevolja na putu.

Alternativno, možete koristiti WPScan, koji je prilično jednostavan i učinkovit skener ranjivosti WordPressa. Ovaj alat se također može koristiti za traženje dodatka po imenu. Besplatna verzija dopušta do 25 API zahtjeva dnevno.

Srećom, neki su dodaci zapravo dizajnirani da zaštite vašu WordPress stranicu od uljeza. LockDown, Wordfence, BulletProof Security jedni su od najboljih Sigurnosni dodaci za WordPress danas. Login LockDown je potpuno besplatan, dok druga dva imaju osnovne, besplatne modele.

Sigurnosni savjeti za WordPress

Koliko god WordPress mogao biti ranjiv, poduzimanje osnovnih sigurnosnih mjera uvelike ide kada je u pitanju sprječavanje i odbijanje cyber napada.

Korištenje jedinstvenih podataka za prijavu i dvofaktorske provjere autentičnosti, ažuriranje cjelokupnog softvera, skrivanje naziva tema i podataka za prijavu trebali bi biti temelj vaše higijene WordPress sigurnosti.

Kako osigurati svoju WordPress web stranicu u 5 jednostavnih koraka

Pročitajte dalje

O autoru