Уязвимость в плагине или теме WordPress: что нужно сделать
ПечатьВам сообщили, что в одном из расширений Вашего сайта найдена брешь в безопасности? Это обычная ситуация, и чаще всего она решается за несколько минут. Главное не откладывать: список уязвимых версий публикуется открыто, и автоматические сканеры начинают искать такие сайты почти сразу.
Коротко: обновите компонент до версии с исправлением. Если исправления нет, удалите его и подберите замену. После этого проверьте через Imunify360 и список пользователей WordPress, не воспользовался ли кто-то уязвимостью раньше Вас.
Что значит «известная уязвимость»
В конкретной версии плагина или темы нашли проблему безопасности и опубликовали её описание, обычно вместе с номером версии, в которой она устранена (в отчётах это пометка «fixed in»). Это не значит, что сайт уже взломан. Это значит, что он открыт для атаки, пока Вы не обновитесь.
Предупреждение может прийти из WP Toolkit (в cPanel он называется «WordPress Management»), со страницы обновлений WordPress, от плагина безопасности или от нашей службы поддержки.
Порядок действий
- Сделайте свежую копию сайта. Автоматические резервные копии JetBackup уже есть, но копия, сделанная прямо перед изменениями, позволит быстро всё вернуть. Как обновляться без риска: Обновление WordPress без поломки сайта.
- Обновите проблемный компонент. Удобнее всего через cPanel: откройте WP Toolkit, выберите сайт и нажмите Update рядом с Plugins или Themes. На тарифах с Softaculous подойдёт и WordPress Manager by Softaculous. Запасной вариант: в админке WordPress откройте Dashboard, затем Updates. После обновления убедитесь, что установлена версия не ниже исправленной.
- Исправленной версии нет? Скорее всего, автор забросил расширение. Отключите и удалите его. При выборе замены на wordpress.org обратите внимание на дату последнего обновления, число активных установок и совместимость с Вашей версией WordPress.
- Не оставляйте отключённые расширения. Даже выключенный плагин хранит файлы в
wp-content/plugins, и через них некоторые уязвимости можно использовать напрямую. С темами так же: оставьте активную и, при желании, одну стандартную запасную. - Не получается войти в wp-admin? В cPanel откройте File Manager, перейдите в
public_html/wp-content/plugins(или в папку сайта, если WordPress стоит на дополнительном домене) и переименуйте папку плагина, например добавив в конце-off. WordPress будет считать плагин отключённым. Подробно: Как читать error_log и отключить плагин, который вызывает ошибку. - Проверьте, не было ли взлома. В cPanel, в разделе Security, откройте Imunify360 и посмотрите результаты сканирования. В WordPress, в разделе Users, отфильтруйте роль Administrator и поищите учётные записи, которых Вы не создавали. Если найдены заражённые файлы, переходите к статье Уведомление Imunify о заражённых файлах.
Частые ошибки
- Платные темы и плагины, скачанные бесплатно с неофициальных сайтов. В них часто спрятан вредоносный код, и они не получают обновлений.
- Обновление только ядра WordPress. Большинство уязвимостей находится в плагинах и темах.
- Отложить «до выходных». Автоматические атаки ждать не будут.
Как избежать повторения
- Включите автообновления: в WP Toolkit (включая Smart Update, см. руководство по WP Toolkit) или в WordPress, в разделе Plugins, ссылкой Enable auto-updates напротив каждого плагина.
- Держите установленными только те расширения, которыми действительно пользуетесь.
- Защитите администраторов двухфакторной аутентификацией и используйте плагин Imunify Security, если он доступен для Вашего сайта: Imunify Security в панели WordPress.
Если после обновления сайт перестал работать или Вы не знаете, чем заменить плагин, откройте тикет и укажите название плагина или темы. Вернуть прежнее состояние можно и самостоятельно через JetBackup: Как восстановить сайт или отдельные файлы через JetBackup 5.
