Flestir veikleikar í WordPress eru í viðbótum, ekki kjarnanum

WordPress sjálft er vel varið. Hættan liggur að mestu í viðbótunum sem settar eru ofan á það, og fimm einföld skref minnka hana til muna.

WordPress keyrir um 40% allra vefja í heiminum, og það gerir kerfið að vinsælu skotmarki. Þegar rýnt er í hvaðan veikleikarnir koma er myndin þó skýr. Samkvæmt árlegum skýrslum öryggisfyrirtækisins Patchstack eru yfir 90% nýrra veikleika í WordPress-vistkerfinu í viðbótum (plugins). Þemu eiga mestallt af afganginum og aðeins örfáir finnast í kjarnanum sjálfum.

Af hverju viðbætur?

Kjarni WordPress er skrifaður og yfirfarinn af stóru teymi með skipulagða öryggisferla, og minni öryggisuppfærslur fara sjálfkrafa inn. Viðbætur skipta hins vegar tugum þúsunda. Þær eru skrifaðar af öllum frá stórum fyrirtækjum til einstaklinga, og sumar hafa ekki verið uppfærðar árum saman. Hver viðbót sem sett er upp bætir við kóða sem getur innihaldið veikleika.

Algengustu mistökin

• Viðbætur sem slökkt er á en eru enn uppsettar. Skrárnar liggja þá áfram á vefþjóninum og geta verið árásarleið.
• Uppfærslur sem bíða vikum eða mánuðum saman.
• Viðbætur sem höfundurinn er hættur að viðhalda.
• Keyptar viðbætur sem fá ekki lengur uppfærslur af því að leyfið rann út.

Fimm skref sem minnka áhættuna

1. Eyddu viðbótum sem þú notar ekki, í stað þess að slökkva bara á þeim.
2. Uppfærðu reglulega og taktu afrit fyrir hverja uppfærslu.
3. Veldu viðbætur sem er virkt viðhaldið. Skoðaðu hvenær þær voru síðast uppfærðar áður en þú setur þær upp.
4. Haltu leyfislyklum keyptra viðbóta gildum svo þær fái öryggisuppfærslur.
5. Notaðu eldvegg (WAF) og tveggja þátta auðkenningu fyrir alla stjórnendaaðganga.

Sjá einnig: Öryggi og vöktun