Непатчнатото мнозинство: Сигнал за тревога за сигурността на WordPress

Ето една цифра, която би трябвало да накара всеки собственик на WordPress сайт да се почувства неудобно: 3,2 милиона уебсайтове все още използват уязвима версия на All-in-One WP Migration, широко разпространен плъгин за пренасяне на WordPress инсталации между хостове и сървъри.

Уязвимостта, отстранена във версия 7.110, е публично известна от приблизително две седмици. Бихте помислили, че това е достатъчно време за разгръщане на корекциите в цялата WordPress екосистема. Ще сбъркате.

Цифрите не лъжат

Приблизително две трети от инсталациите на All-in-One WP Migration остават непатчнати. Помислете за това. За всеки сайт, актуализиран до сигурната версия, два други продължават да използват уязвим код. В абсолютни числа става дума за милиони потенциални точки за достъп на злонамерени актьори.

Особено тревожно в тази ситуация е, че пълната верига за експлоатация вече е публично достъпна. Това означава, че всеки с основни технически познания – без да са необходими напреднали хакерски умения – потенциално може да компрометира тези сайтове. Прагът за експлоатация е спаднал драстично.

Защо това продължава да се случва?

Този модел се повтаря в ландшафта на уеб сигурността и повдига фундаментален въпрос: защо толкова много собственици на сайтове отлагат критичните актуализации за сигурност?

Липсата на осведоменост остава основният виновник. Много собственици на сайтове нямат системи за мониторинг, които да ги предупреждават при издаване на актуализации на плъгини. Те просто не знаят, че сайтът им е уязвим.

Тревогата от актуализациите е друг фактор. Някои администратори се страхуват, че актуализирането на плъгини може да наруши функционалността на сайта им. Въпреки че тази притеснение не е напълно неоснователно, оставянето на известни уязвимости непатчнати е значително по-опасно от потенциален проблем със съвместимостта.

Недостатъчната хостинг инфраструктура също играе роля. Качествените хостинг доставчици би трябвало да предлагат инструменти, които помагат за автоматизиране и управление на актуализациите за сигурност, но не всички го правят.

Какво означава това за вашия WordPress сайт

Ако използвате All-in-One WP Migration, посланието е ясно: актуализирайте незабавно. Ако управлявате множество WordPress инсталации – независимо дали за клиенти или за собствени проекти – имате нужда от систематичен подход към поддръжката на плъгините.

Ето как изглежда солидната позиция за сигурност:

Активирайте автоматичните актуализации за критични корекции за сигурност. Повечето хостинг среди поддържат това и премахват човешкия фактор на забавяне от уравнението.

Поддържайте инвентар на всички плъгини и теми във вашите инсталации. Не можете да защитите това, за което не знаете, че го имате.

Мониторирайте съобщенията за сигурност от WordPress и разработчиците на плъгини. Когато бъде обявена критична уязвимост, третирайте я като извънредна ситуация.

Изберете хостинг доставчици, които приемат сериозно сигурността. Търсете доставчици, които предлагат staging среди, автоматични резервни копия и инструменти за мониторинг на сигурността.

По-голямата картина

Става дума не само за един плъгин. Става дума