Wyłączone aktualizacje — najczęstsza przyczyna włamania

Przy jednej ze stron, które czyściłem, atakujący wszedł przez lukę w rdzeniu WordPressa. Poprawka na tę lukę istniała od kilku tygodni. Strona jej nie miała, bo aktualizacje były wyłączone — a wyłączyła je wtyczka, którą ktoś zainstalował właśnie po to, żeby „nic się samo nie zmieniało”.

To nie jest rzadki przypadek. To najczęstsza przyczyna włamań, jakie widuję — i jednocześnie jedyna, którą da się wyeliminować bez żadnej wiedzy technicznej.

Jak wygląda typowa droga wejścia

Włamania do małych firmowych stron prawie nigdy nie są celowane. Nikt nie siedzi i nie szuka dziury akurat u Ciebie. Działa to odwrotnie:

w popularnej wtyczce znajduje się luka i zostaje opisana publicznie,
twórca wydaje poprawkę — zwykle w ciągu kilku dni,
automat przeczesuje internet i sprawdza po kolei, które strony tej poprawki nie mają,
strony bez aktualizacji zostają zainfekowane hurtowo, często w ciągu kilkudziesięciu godzin.

Innymi słowy: publiczna informacja o luce jest jednocześnie instrukcją, jak się włamać. Czas między wydaniem poprawki a jej wgraniem to okno, w którym strona stoi otworem — i o długości tego okna decydujesz Ty.

Przypadek, od którego zacząłem, opisałem szerzej w case study o luce w rdzeniu WordPressa. Obce konto administratora działało tam tygodniami, a droga wejścia dała się ustalić dopiero z logów serwera.

Dlaczego ludzie wyłączają aktualizacje

Powody są zawsze rozsądne, co jest w tym najgorsze.

„Raz po aktualizacji strona przestała działać”. Zwykle prawda. Tyle że problemem nie była aktualizacja, lecz jej brak przez dwa lata — przeskok przez kilkanaście wersji naraz kończy się awarią znacznie częściej niż regularne, drobne kroki.

„Działa, więc nie ruszam”. Rozsądne przy maszynie, zgubne przy oprogramowaniu podłączonym do internetu. Strona, której nikt nie dotyka, nie stoi w miejscu — otoczenie wokół niej się zmienia.

„Poprzedni wykonawca kazał nie aktualizować”. Czasem ma to uzasadnienie: przerobiony motyw albo wtyczka na licencji, która wygasła. Ale wtedy rozwiązaniem jest naprawienie tej jednej rzeczy, a nie zamrożenie całej strony na lata.

Minimum, które warto włączyć dzisiaj

Nie chodzi o to, żeby wszystko aktualizowało się samo. Chodzi o to, żeby najgroźniejsze luki nie czekały tygodniami.

Automatyczne aktualizacje bezpieczeństwa rdzenia WordPressa — domyślnie włączone, warto sprawdzić, czy ktoś ich nie wyłączył. To one zamykają luki pokroju tej z case study.
Powiadomienia e-mail o dostępnych aktualizacjach — żeby wiedzieć, że coś czeka, bez logowania się do panelu.
Usunięcie wtyczek, których nie używasz. Nieaktywna wtyczka to wciąż kod na serwerze i wciąż potencjalna droga wejścia.
Kopia zapasowa, którą da się odtworzyć. Kopia, której nikt nigdy nie przywracał, jest założeniem, nie zabezpieczeniem.

Jak aktualizować, żeby nie zepsuć strony

Kolejność, której sam się trzymam przy stronach klientów:

kopia plików i bazy przed, nie po,
najpierw rdzeń, potem wtyczki, na końcu motyw,
pojedynczo, nie wszystko naraz — przy awarii od razu wiadomo, co ją spowodowało,
po każdej większej aktualizacji sprawdzenie dwóch rzeczy, które muszą działać: formularza kontaktowego i koszyka, jeśli to sklep,
przy wtyczkach płatnych i przerobionym motywie — najpierw kopia testowa, dopiero potem produkcja.

To zajmuje kilkanaście minut miesięcznie przy stronie firmowej. Przy sklepie więcej, bo i ryzyko jest większe.

Kiedy warto to komuś oddać

Kilkanaście minut miesięcznie brzmi niegroźnie, dopóki nie trzeba o tym pamiętać dwanaście razy w roku, w natłoku innych rzeczy. W praktyce strony dzielą się na te, którymi ktoś się zajmuje, i te, przy których „zrobimy to w przyszłym tygodniu” trwa półtora roku.

Dlatego opieka nad stroną zaczyna się u mnie właśnie od tego: aktualizacje, kopie zapasowe i monitoring, czyli trzy rzeczy, które decydują, czy infekcja w ogóle będzie miała którędy wejść. Pakiety 300, 650 i 1 000 zł netto miesięcznie, z miesięcznym okresem wypowiedzenia.

A jeśli czytasz to już po włamaniu — zacznij od tekstu o tym, co zrobić w pierwszej godzinie, i dopiero potem wracaj do aktualizacji. Usunięcie infekcji bez zamknięcia drogi wejścia kończy się jej powrotem.

Telefon: +48 505 99 67 34.