Sprawdź, czy wtyczki na Twojej stronie mają znane podatności

Analizy firm sprzątających po włamaniach na WordPressa od lat pokazują ten sam obraz: zdecydowana większość przejętych stron miała lukę we wtyczce albo w motywie, nie w samym WordPressie. Rdzeń aktualizuje się dziś w dużej mierze sam. Wtyczki nie zawsze, a wystarczy jedna zapomniana.

Publiczność tych informacji działa w obie strony. Gdy badacz zgłasza lukę, poprawka i opis trafiają do publicznych baz, z których korzystamy my i wszyscy inni, w tym autorzy automatów szukających celów. Od publikacji luki do masowych prób jej użycia mijają czasem godziny, nie tygodnie. Dlatego liczy się nie to, czy aktualizujesz, tylko jak szybko.

Z wersjami jesteśmy celowo ostrożni, bo to tutaj najłatwiej o fałszywy alarm. Parametr ver doklejany do adresów skryptów często zawiera wersję WordPressa, nie wtyczki, więc nie traktujemy go jako dowodu. Wyżej cenimy wersję zadeklarowaną w pliku readme wtyczki. Jeżeli wiarygodnej wersji nie ma, raport pokazuje historię podatności wtyczki, zamiast twierdzić, że ta konkretna instalacja jest podatna.

Widzimy przy tym tylko to, co widać od zewnątrz. Wtyczka, która nie zostawia śladów w publicznym kodzie strony, pozostanie niewykryta, więc lista może być niepełna i raport mówi o tym otwarcie. Do przeglądu kompletnego, razem z wtyczkami wyłączonymi, potrzebny jest dostęp do panelu.

Zacznij od pozycji z podatnościami o wysokiej wadze: to luki z publicznie opisanymi sposobami użycia, po które automaty sięgają najchętniej. Aktualizacja zwykle zamyka temat, ale wykonuj ją z kopią zapasową, bo duży skok wersji potrafi zmienić działanie strony.

Wtyczki porzucone przez autorów potraktuj inaczej. Tam poprawka nigdy nie przyjdzie, więc rozwiązaniem jest zastąpienie wtyczki inną albo rezygnacja z funkcji. Przy okazji usuń wtyczki wyłączone, ale wciąż zainstalowane: ich pliki dalej leżą na serwerze i dalej bywają celem.