WordPress-plugins og -temaer kan have sårbarheder: Sådan sikrer du dit websted

Som det klart mest populære indholdsstyringssystem driver WordPress millioner af forskellige websteder. Det er open source-software, hvilket betyder, at dens kildekode er offentligt tilgængelig og kan ændres af stort set alle med tilstrækkelig knowhow.

Selvom WordPress plugins og temaer kan købes, er titusindvis af dem tilgængelige gratis. Som man kunne forvente, kommer dette ikke uden sine ulemper. Så hvor sårbare er WordPress-websteder? Hvad med dets temaer og plugins? Og hvordan kan du beskytte dine websteder?

Hvor sårbar er WordPress?

I februar 2022, Jet pakke opdagede, at populære temaer og plugins fra leverandøren AccessPress Themes (også kendt som Access Keys) var kompromitteret. Forskerne opdagede sårbarheden ved et uheld efter at have opdaget mistænkelig kode på et kompromitteret websted. Efter yderligere undersøgelse indså de de fleste AccessPress-plugins, og hvert tema indeholdt den samme kode.

Det viste sig senere, at AccessPress Themes blev offer for et cyberangreb i september 2021, hvor hackere injicerede en bagdør i leverandørens plugins og temaer.

AccessPress opdaterede og ryddede til sidst op i deres produkter, men formodentlig var tusindvis af brugere sårbare over for angreb i en lang periode.

Har WordPress-plugins og -temaer sårbarheder?

Jetpacks resultater understreger, hvor sårbar WordPress kan være. Men dette var ikke et enkeltstående tilfælde.

I marts 2021 var der f.eks. Wordfence afsløret store sårbarheder i to WordPress-plugins, der, hvis de blev udnyttet med succes, ville have givet en angriber mulighed for at overtage et websted. Sårbarhederne blev opdaget i Elementor og WP Super Cache plugins. Elementor er en webstedsbygger, der bruges på mere end syv millioner websteder, mens WP Super Cache er et populært cache-plugin.

I februar 2022, som Søgemaskinejournal rapporteret, advarede den amerikanske regerings sårbarhedsdatabase og WordPress-sikkerhedsforskere om alvorlige sårbarheder i snesevis af WordPress-plugins.

Af disse plugins blev ni brugt på mere end 1,3 millioner websteder: Header Footer Code Manager, Ad Inserter—Ad Manager & AdSense Ads, Popup Builder, Anti-Malware Sikkerhed og Brute-Force Firewall, WP Content Copy Protection & No Right Click, Database Backup til WordPress, GiveWP, Download Manager og Advanced Database Renere.

Sådan sikrer du dit WordPress-websted

Man ville antage, at disse sårbarheder altid lappes eller fjernes, når de først er opdaget, men det er faktisk ikke tilfældet.

Forskning fra Patchstack fandt, at 2021 oplevede en stigning på 150 procent i rapporterede WordPress-sårbarheder sammenlignet med 2020 – og 29 procent af disse sårbarheder modtog ingen patch. Patchstack fandt også ud af, at kun 0,58 procent af de rapporterede fejl var i WordPress-kernen, hvilket betyder, at sårbarheder næsten altid findes i plugins.

Det er afgørende at sikre, at alle plugins, du bruger, er opdaterede, såvel som selve WordPress-kernen.

Før du downloader og installerer et plugin, skal du sørge for at lave lidt research først. Tjek hvor mange installationer pluginnet har, læs anmeldelser online, se hvornår det sidst blev opdateret, og tjek om det er testet med den nyeste WordPress-kerne. Dette vil kun tage et par minutter, men det kan spare dig for en masse problemer hen ad vejen.

Alternativt kan du bruge WPScan, som er en ret simpel og effektiv WordPress sårbarhedsscanner. Dette værktøj kan også bruges til at slå et plugin op efter navn. Den gratis version tillader op til 25 API-anmodninger om dagen.

Heldigvis er nogle plugins faktisk designet til at beskytte dit WordPress-websted mod ubudne gæster. Login LockDown, Wordfence, BulletProof Security er nogle af de bedste WordPress sikkerhedsplugins i dag. Login LockDown er helt gratis, mens de to andre har grundlæggende, gratis modeller.

WordPress sikkerhedstip

Så sårbart som WordPress kan være, går det langt med at tage grundlæggende sikkerhedsforanstaltninger, når det kommer til at forhindre og afværge cyberangreb.

Brug af unikke loginoplysninger og tofaktorautentificering, at holde al software opdateret, skjule temanavne og logindetaljer bør være grundlaget for din WordPress-sikkerhedshygiejne.

Sådan sikrer du dit WordPress-websted i 5 enkle trin

Læs Næste

Om forfatteren