Pri večini vdrtih strani WordPress napadalci vstopijo prek znane varnostne napake zastarelega vtičnika. WP Toolkit v cPanelu (WordPress Management) zato nenehno primerja različico WordPressa, vtičnike in teme, ki tečejo na tvojem spletnem mestu, s podatkovnimi bazami ranljivosti in sporoči, če je kateri prizadet. V naših paketih gostovanja cPanel in gostovanja WordPress je to del WP Toolkit Deluxe. Videoposnetek prikazuje resničen primer: opozorilo za star vtičnik Contact Form 7 in njegovo odpravo s posodobitvijo.

Video: Posodobitev ranljivega vtičnika v oknu Varnostno stanje v WP Toolkit (posnetek zaslona brez zvoka, z madžarskimi podnapisi)

Kje vidim opozorilo?

Na seznamu WP Toolkit je v vrstici vsakega spletnega mesta oznaka Security Risk z oceno tveganja spletnega mesta, med 0 in 10. Pri zeleni 0,0 ni resne znane ranljivosti; če število raste in oznaka spremeni barvo, je prizadet kateri od sestavnih delov. Nekaj dolgo znanih postavk nizke resnosti jedra WordPressa je navedenih tudi pri nepopravljenih različicah WordPressa, te ocene ne povišajo.

Klikni oznako Security Risk (ali na podatkih spletnega mesta povezavo Zmanjšanje tveganja ranljivosti): odpre se okno Varnostno stanje.

Seznam ranljivosti

Na zavihku Vulnerable Components vidiš najdene ranljivosti, razvrščene po sestavnih delih (vtičnik, tema, jedro WordPressa). V vsaki vrstici:

• resnost: od najhujše (CRIT) prek visoke (VISOKA) do nizke (NIZKA);
• opis: kakšne vrste je napaka (na primer nepooblaščeno nalaganje datotek ali XSS) in katere različice zadeva;
• popravljena različica: številka za „Fixed in” pokaže, katera različica jo je popravila; če je tvoj vtičnik novejši, ga napaka ne zadeva;
• identifikator CVE, s katerim lahko podrobnosti poiščeš na internetu.

WP Toolkit ocenjuje le aktivne vtičnike in teme: izklopljenega, a na gostovanju puščenega starega vtičnika seznam ne pokaže, njegove datoteke pa so vseeno tam. Zato neuporabljenih vtičnikov ne le izklopi, temveč jih izbriši.

Kaj narediti?

Na desni strani vrstice sestavnega dela WP Toolkit ponudi možne rešitve:

1. Posodobitev (Update to …): najboljša rešitev. Klikni nanjo, nato pri potrditvenem vprašanju gumb Posodobi. Po posodobitvi se ocena tveganja preračuna, popravljeni vtičnik pa izgine s seznama. Gumb Install 1 update (ali podoben pri več posodobitvah) okna Varnostno stanje namesti vse razpoložljive posodobitve.
2. Izklop (Deactivate Plugin): če posodobitev iz kakšnega razloga ni mogoča (na primer popravljena različica še ni izšla ali bi posodobitev pokvarila stran), vtičnik izklopi, dokler ni rešitve. Če vtičnika ne razvijajo več, poišči drugega namesto njega.
3. Omogoči zaščito: navidezni popravki WP Guardian s pravilom požarnega zidu ščitijo ranljiv vtičnik, dokler ga ne posodobiš. To je ločeno plačljiva licenca, ni del paketa gostovanja; posodobitev ali izklop težavo rešita tudi brez nje.

Pred posodobitvijo naredi varnostno kopijo, pri spletni trgovini pa je večji skok različice dobro najprej preizkusiti na spletnem mestu staging. Stikalo Funkcija pametne posodobitve v WP Toolkit to opravi samodejno: posodobitev najprej preizkusi na kopiji spletnega mesta.

Če je ranljivost obstajala že dneve ali tedne, preveri tudi, ali na gostovanje ni prišla škodljiva programska oprema; korake opisuje članek o odstranjevanju škodljive programske opreme z ImunifyAV.

Preprečevanje: samodejne varnostne posodobitve

S klikom na povezavo Nastavitve samodejnih posodobitev na podatkih spletnega mesta določiš, kako naj WP Toolkit obravnava ranljive vtičnike in teme. V razdelku Samodejna posodobitev vtičnikov:

• Določeno posamično: vsak vtičnik sledi lastni nastavitvi.
• Določeno posamično, varnostne posodobitve pa se namestijo samodejno: o drugih posodobitvah vtičnikov še naprej odločaš ti, če pa je vtičnik ranljiv in obstaja popravljena različica, ga WP Toolkit samodejno posodobi. Za večino strani priporočamo to.
• Vsiljeno: vsaka posodobitev vsakega vtičnika se namesti samodejno.

Pri zadnjih dveh lahko označiš tudi možnost Namesto posodobitve deaktiviraj ogrožene vtičnike: takrat WP Toolkit ranljiv vtičnik izklopi. To je varneje, vendar lahko izklop pomembnega vtičnika vpliva tudi na delovanje strani. Nastavitev shrani z gumbom Save.

Več o nastavitvah posodobitev piše članek o samodejnih posodobitvah, o upravljanju vtičnikov pa članek o upravljanju vtičnikov v WP Toolkit.