WordPress-plugins og -temaer kan ha sårbarheter: Slik sikrer du nettstedet ditt

Som det desidert mest populære innholdsstyringssystemet driver WordPress millioner av forskjellige nettsteder. Det er åpen kildekode-programvare, som betyr at kildekoden er offentlig tilgjengelig og kan modifiseres av stort sett alle med tilstrekkelig kunnskap.

Selv om WordPress-plugins og -temaer kan kjøpes, er titusenvis av dem tilgjengelige gratis. Som man kan forvente, kommer ikke dette uten sine ulemper. Så hvor sårbare er WordPress-nettsteder? Hva med temaene og pluginsene? Og hvordan kan du beskytte sidene dine?

Hvor sårbart er WordPress?

I februar 2022, Jetpack oppdaget at populære temaer og plugins fra leverandøren AccessPress Themes (også kjent som Access Keys) ble kompromittert. Forskerne oppdaget sårbarheten ved et uhell, etter å ha oppdaget mistenkelig kode på et kompromittert nettsted. Etter ytterligere undersøkelser innså de de fleste AccessPress-plugins og hvert tema inneholdt den samme koden.

Det viste seg senere at AccessPress Themes ble offer for et nettangrep i september 2021, med hackere som injiserte en bakdør i leverandørens plugins og temaer.

AccessPress oppdaterte og ryddet opp i produktene sine etter hvert, men antagelig var tusenvis av brukere sårbare for angrep i en lang periode.

Har WordPress-plugins og -temaer sårbarheter?

Jetpacks funn understreker hvor sårbart WordPress kan være. Men dette var ikke et isolert tilfelle.

I mars 2021, f.eks. Wordfence avslørte store sårbarheter i to WordPress-plugins som, hvis de ble utnyttet, ville ha tillatt en angriper å overta et nettsted. Sårbarhetene ble oppdaget i Elementor og WP Super Cache-plugins. Elementor er en nettstedbygger som brukes på mer enn syv millioner nettsteder, mens WP Super Cache er et populært caching-plugin.

I februar 2022, as Søkemotorjournal rapporterte, advarte forskere fra USAs regjerings sårbarhetsdatabase og WordPress-sikkerhet om alvorlige sårbarheter i dusinvis av WordPress-plugins.

Av disse pluginene ble ni brukt på mer enn 1,3 millioner nettsteder: Header Footer Code Manager, Ad Inserter—Ad Manager & AdSense Ads, Popup Builder, Anti-Malware Sikkerhet og Brute-Force-brannmur, WP Content Copy Protection & No Right Click, Database Backup for WordPress, GiveWP, Download Manager og Advanced Database Renere.

Slik sikrer du WordPress-nettstedet ditt

Man vil anta at disse sårbarhetene alltid blir lappet opp eller fjernet når de først er oppdaget, men det er faktisk ikke tilfelle.

Forskning fra Patchstack fant at 2021 så en økning på 150 prosent i rapporterte WordPress-sårbarheter sammenlignet med 2020 – og 29 prosent av disse sårbarhetene fikk ingen oppdatering. Patchstack fant også at bare 0,58 prosent av de rapporterte feilene var i WordPress-kjernen, noe som betyr at sårbarheter nesten alltid finnes i plugins.

Det er viktig å sikre at alle plugins du bruker er oppdatert, så vel som selve WordPress-kjernen.

Før du laster ned og installerer en plugin, sørg for at du gjør litt research først. Sjekk hvor mange installasjoner plugin-en har, les anmeldelser på nettet, se når den sist ble oppdatert, og sjekk om den ble testet med den nyeste WordPress-kjernen. Dette vil bare ta noen få minutter, men det kan spare deg for mye trøbbel på veien.

Alternativt kan du bruke WPScan, som er en ganske enkel og effektiv WordPress sårbarhetsskanner. Dette verktøyet kan også brukes til å slå opp en plugin etter navn. Gratisversjonen tillater opptil 25 API-forespørsler per dag.

Heldigvis er noen plugins faktisk designet for å beskytte WordPress-siden din mot inntrengere. Login LockDown, Wordfence, BulletProof Security er noen av de beste WordPress sikkerhetsplugins i dag. Login LockDown er helt gratis, mens de to andre har grunnleggende, gratis modeller.

WordPress sikkerhetstips

Så sårbar som WordPress kan være, tar grunnleggende sikkerhetstiltak langt når det gjelder å forhindre og avverge nettangrep.

Bruk av unike påloggingsdetaljer og tofaktorautentisering, å holde all programvare oppdatert, skjule temanavn og påloggingsdetaljer bør være grunnlaget for din WordPress-sikkerhetshygiene.

Slik sikrer du WordPress-nettstedet ditt i 5 enkle trinn

Les Neste

Om forfatteren