A feltört WordPress oldalak többségénél egy elavult bővítmény ismert biztonsági hibáján keresztül jutnak be a támadók. A cPanel WP Toolkit (WordPress Management) ezért folyamatosan összeveti a webhelyén futó WordPress-verziót, bővítményeket és témákat a sebezhetőségi adatbázisokkal, és jelzi, ha valamelyik érintett. cPanel tárhely és WordPress tárhely csomagjainkban ez a WP Toolkit Deluxe része. A videó egy valódi esetet mutat be: egy régi Contact Form 7 bővítmény jelzését és a frissítéssel való javítását.

Videó: Sebezhető bővítmény frissítése a WP Toolkit Biztonsági állapot ablakában (képernyőfelvétel hang nélkül, magyar feliratokkal)

Hol látom a jelzést?

A WP Toolkit listájában minden webhely sorában ott a Security Risk címke a webhely kockázati pontszámával, 0 és 10 között. Zöld 0,0 esetén nincs komoly ismert sebezhetőség; ha a szám nő és a címke színe változik, valamelyik összetevő érintett. A WordPress-mag néhány régóta ismert, alacsony súlyosságú tétele a javítatlan WordPress-verziókban is szerepel, ezek nem emelik a pontszámot.

Kattintson a Security Risk címkére (vagy a webhely adatlapján a Biztonsági rések kockázatának a csökkentése linkre): megnyílik a Biztonsági állapot ablak.

A sebezhetőségek listája

A Vulnerable Components fülön összetevőnként (bővítmény, téma, WordPress-mag) csoportosítva látja a talált sebezhetőségeket. Minden sorban:

• a súlyosság: a legsúlyosabbtól (CRIT) a magason (MAGAS) át az alacsonyig (ALACSONY);
• a leírás: milyen típusú a hiba (például jogosulatlan fájlfeltöltés vagy XSS), és mely verziókat érinti;
• a javított verzió: a „Fixed in” utáni szám mutatja, melyik verzió javította; ha a bővítménye ennél újabb, a hiba nem érinti;
• a CVE-azonosító, amellyel az interneten utánanézhet a részleteknek.

A WP Toolkit csak az aktív bővítményeket és témákat pontozza: egy kikapcsolt, de a tárhelyen hagyott régi bővítményt a lista nem mutat, a fájljai mégis ott vannak. Ezért a nem használt bővítményeket ne csak kapcsolja ki, hanem törölje.

Mit tegyen?

Az összetevő sorának jobb oldalán a WP Toolkit felajánlja a lehetséges megoldásokat:

1. Frissítés (Update to …): a legjobb megoldás. Kattintson rá, majd a megerősítő kérdésnél a Frissítés gombra. A frissítés után a kockázati pontszám újraszámolódik, és a javított bővítmény eltűnik a listából. A Biztonsági állapot ablak Install 1 update (vagy több frissítés esetén hasonló) gombja az összes elérhető frissítést telepíti.
2. Kikapcsolás (Deactivate Plugin): ha a frissítés valamiért nem lehetséges (például a javított verzió még nem jelent meg, vagy a frissítés elrontaná az oldalt), kapcsolja ki a bővítményt, amíg nincs megoldás. Ha a bővítményt már nem fejlesztik, keressen helyette másikat.
3. Védelem engedélyezése: a WP Guardian virtuális javításai tűzfalszabállyal védik a sebezhető bővítményt, amíg nem frissíti. Ez külön megvásárolható licenc, a tárhelycsomagnak nem része; a frissítés vagy a kikapcsolás nélküle is megoldja a problémát.

Frissítés előtt készítsen biztonsági mentést, egy webáruháznál pedig érdemes a nagyobb verzióugrást előbb egy staging webhelyen kipróbálni. A WP Toolkit Intelligens frissítés funkció kapcsolója ezt automatikusan elvégzi: a frissítést előbb a webhely egy másolatán teszteli.

Ha a sebezhetőség már napok vagy hetek óta fennállt, nézze meg azt is, nem került-e kártevő a tárhelyre; a teendőket az ImunifyAV kártevőirtásról szóló cikk írja le.

Megelőzés: automatikus biztonsági frissítések

A webhely adatlapján az Automatikus frissítési beállítások linkre kattintva megadhatja, hogyan kezelje a WP Toolkit a sebezhető bővítményeket és témákat. A Beépülő modulok automatikus frissítése résznél:

• Egyedileg meghatározott: minden bővítmény a saját beállítását követi.
• Egyedileg történik a meghatározásuk, de automatikusan történik a biztonsági frissítések telepítése: a bővítmények egyéb frissítéseiről továbbra is Ön dönt, de ha egy bővítmény sebezhető, és van javított verzió, a WP Toolkit automatikusan frissíti. A legtöbb oldalhoz ezt javasoljuk.
• Kényszerített: minden bővítmény minden frissítése automatikusan települ.

Az utóbbi kettőnél bejelölheti A frissítésük helyett inaktiválja a veszélynek kitett beépülő modulokat lehetőséget is: ekkor a WP Toolkit a sebezhető bővítményt kikapcsolja. Ez biztonságosabb, de egy fontos bővítmény kikapcsolása az oldal működését is érintheti. A beállítást a Save gombbal mentse.

A frissítések beállításáról bővebben az automatikus frissítésekről szóló cikk ír, a bővítmények kezeléséről pedig a WP Toolkit bővítménykezeléséről szóló cikk.