Vulnerabilitate într-un plugin sau o temă WordPress: pașii de urmat
TipărireAți aflat că o extensie de pe site-ul dvs. are o breșă de securitate publicată? Situația este frecventă și de obicei se rezolvă în câteva minute. Important este să nu amânați: lista versiunilor afectate este publică, iar roboții care caută astfel de site-uri pornesc la scurt timp după anunț.
Pe scurt: treceți componenta la versiunea care repară problema. Dacă autorul nu a publicat nicio corecție, ștergeți-o și alegeți o alternativă. La final verificați cu Imunify360 și în lista de utilizatori WordPress că nimeni nu a profitat deja de breșă.
Ce înseamnă „vulnerabilitate cunoscută”
Cineva a descoperit o problemă de securitate într-o anumită versiune a pluginului sau a temei și a făcut-o publică, de regulă împreună cu versiunea în care problema a fost reparată (în rapoarte apare ca „fixed in”). Asta nu înseamnă că site-ul dvs. a fost spart. Înseamnă că este expus până la actualizare.
Avertismentul poate veni din WP Toolkit (în cPanel apare ca „WordPress Management”), din pagina de actualizări a WordPress, dintr-un plugin de securitate sau direct de la echipa TopHost.
Pașii, de la cel mai important
- Faceți o copie chiar înainte de schimbare. Backupurile automate JetBackup există deja, dar o copie proaspătă vă permite să reveniți imediat dacă ceva nu merge. Cum procedați fără riscuri: Actualizarea WordPress fără să stricați site-ul.
- Actualizați extensia afectată. Vă recomandăm să o faceți din cPanel: deschideți WP Toolkit, alegeți site-ul și folosiți butonul Update din dreptul Plugins sau Themes. Pe planurile care au Softaculous puteți folosi și WordPress Manager by Softaculous. Varianta alternativă este panoul WordPress: Dashboard, apoi Updates. După actualizare, verificați că versiunea instalată este cel puțin cea indicată ca reparată.
- Nu există o versiune reparată? Înseamnă de obicei că autorul a abandonat extensia. Dezactivați-o și ștergeți-o. Pentru înlocuitor, pe wordpress.org uitați-vă la data ultimei actualizări, la numărul de instalări active și la compatibilitatea cu versiunea dvs. de WordPress.
- Nu păstrați extensii dezactivate. Un plugin oprit din panou are în continuare fișierele în
wp-content/plugins, iar unele breșe pot fi atacate direct prin acele fișiere. La fel pentru temele vechi: lăsați tema activă și, cel mult, o temă implicită de rezervă. - Nu puteți intra în wp-admin? Deschideți File Manager din cPanel, mergeți în
public_html/wp-content/plugins(sau în folderul site-ului, dacă WordPress este pe un domeniu suplimentar) și redenumiți folderul pluginului, de exemplu adăugând-offla final. WordPress îl va trata ca dezactivat. Pașii completi: Cum citiți error_log și opriți pluginul care dă eroare. - Verificați dacă breșa a fost deja folosită. În cPanel, secțiunea Security, deschideți Imunify360 și citiți rezultatele scanării. În WordPress, la Users, filtrați după rolul Administrator și căutați conturi pe care nu le-ați creat dvs. Dacă apar fișiere infectate, continuați cu Notificare Imunify despre fișiere infectate.
Greșeli frecvente
- Teme sau pluginuri plătite, descărcate gratuit de pe site-uri neoficiale. Conțin des cod ascuns și nu primesc actualizări.
- Actualizarea doar a nucleului WordPress. Cele mai multe breșe sunt în pluginuri și teme, nu în WordPress propriu-zis.
- Amânarea „pentru weekend”. Atacurile automate nu așteaptă.
Ca să nu se repete
- Porniți actualizările automate: în WP Toolkit (inclusiv Smart Update, descris în ghidul WP Toolkit) sau în WordPress, la Plugins, cu linkul Enable auto-updates din dreptul fiecărui plugin.
- Păstrați instalate doar extensiile pe care le folosiți efectiv.
- Protejați conturile de administrator cu autentificare în doi pași și folosiți pluginul Imunify Security, dacă este disponibil pentru site-ul dvs.: Imunify Security în panoul WordPress.
Dacă site-ul nu mai funcționează după actualizare sau nu știți ce alternativă să alegeți, deschideți un tichet și menționați numele pluginului sau al temei. Puteți reveni și singur la starea anterioară din JetBackup: Cum restaurați un site sau anumite fișiere cu JetBackup 5.
