W ostatnich tygodniach pojawiło się sporo informacji o lukach bezpieczeństwa w WordPressie i popularnych wtyczkach. Część z nich mogła prowadzić do przejęcia konta administratora, uruchomienia złośliwego kodu na serwerze albo wycieku danych do wysyłki maili. A to już poważne problemy, których rozwiązanie często bywa uciążliwe i kosztowne. Jeśli Twoja strona działa na WordPressie, warto wiedzieć, co się wydarzyło i co sprawdzić, żeby ograniczyć ryzyko.
Strona może działać i nadal być podatna
WordPress jest wygodny, popularny i dla wielu firm nadal może być dobrym wyborem. Problem pojawia się wtedy, gdy po wdrożeniu nikt regularnie nie sprawdza aktualizacji, wtyczek, kont administratorów i kopii zapasowych.
Z pozoru wszystko może wyglądać normalnie. Strona się ładuje, formularz działa, blog można edytować, panel administratora otwiera się bez problemu. Pod spodem mogą jednak działać nieaktualne dodatki, podatne mechanizmy logowania albo funkcje, które są już wykorzystywane przez atakujących.
Ostatnie przypadki opisane przez serwisy zajmujące się bezpieczeństwem, takie jak Niebezpiecznik czy Sekurak, pokazują, że ryzyko nie dotyczy wyłącznie mało znanych wtyczek. Czasem problem pojawia się w popularnym dodatku, a czasem w samym WordPressie.
Co wydarzyło się w ostatnich tygodniach?
W opisanych przypadkach przewija się kilka różnych scenariuszy ataku. Każdy wygląda inaczej, ale wspólny mianownik jest prosty: zaniedbana albo nieaktualna strona może stać się łatwym celem. Najważniejsze przykłady w pigułce:
W samym WordPressie wykryto lukę, która sprawia, że kliknięcie spreparowanego linku przez zalogowanego administratora może otworzyć atakującemu drogę do przejęcia strony. To szczególnie groźne, bo wiele osób pracuje cały czas w tej samej przeglądarce, w której ma otwarty panel WordPressa.
Inne błędy w WordPressie mogły pozwolić osobie z zewnątrz uruchomić własny kod na serwerze strony. A to oznacza ryzyko podmiany treści, dodania złośliwych plików albo wykorzystania strony do dalszych ataków.
Podatność we wtyczce Everest Forms Pro mogła zamienić zwykły formularz kontaktowy w furtkę do strony. Atakujący mogli wykorzystać formularz nie do wysłania wiadomości, ale do wykonywania działań na serwerze, w tym tworzenia kont administratora.
Błąd w Gravity SMTP mógł ujawnić dane potrzebne do wysyłania maili ze strony. Takie informacje mogą posłużyć do spamu, phishingu lub podszywania się pod firmę, a przy okazji zaszkodzić reputacji domeny.
Luki w Kirki i Burst Statistics mogły prowadzić do przejęcia konta administratora bez znajomości hasła.
Jak widać, nie są to drobne błędy kosmetyczne. Mówimy tu o sytuacjach, które mogą skończyć się przejęciem strony, podmianą treści, wysyłką spamu, utratą zapytań z formularzy czy wyciekiem danych. Przyjrzyjmy im się bliżej.
Luka w samym WordPressie: gdy wystarczy wykorzystać administratora
Jeden z opisanych ataków, nazwany XSS2Shell, dotyczył samego WordPressa. Zaczynał się od formularza logowania. W określonej sytuacji system mógł źle zinterpretować dane wpisane jako login, co otwierało drogę do dalszego ataku.
Do pełnego scenariusza potrzebne było kliknięcie w podstawiony link przez osobę zalogowaną do panelu administratora. To brzmi jak coś, co łatwo zlekceważyć, ale w codziennej pracy taki warunek wcale nie jest abstrakcyjny. Wiele osób pozostaje zalogowanych do WordPressa przez cały dzień i korzysta z tej samej przeglądarki do poczty, komunikatorów i pracy z linkami.
Jeśli taki atak się powiedzie, osoba z zewnątrz może uzyskać dostęp do funkcji administracyjnych, dodać złośliwą wtyczkę, a w skrajnym przypadku uruchomić własny kod na serwerze.
Warto zwrócić uwagę na jeszcze jeden element: według opisywanych informacji ten łańcuch ataku został znaleziony przez narzędzia AI. To sygnał, że słabe punkty w popularnych systemach mogą być wyszukiwane szybciej i na większą skalę niż wcześniej.
Błędy bez logowania są szczególnie groźne
Część opisanych luk była poważniejsza, bo nie wymagała konta w WordPressie ani kliknięcia po stronie administratora. Atakujący mógł działać z zewnątrz, jeśli strona korzystała z podatnej wersji systemu.
Dlatego tak ważne są aktualizacje. W nowych wersjach WordPressa takie podatności są łatane, ale sama informacja o luce często szybko trafia do osób, które próbują ją wykorzystać na nieaktualnych stronach.
Jeden z błędów sprawiał, że atakujący byli w stanie uruchomić własny kod na serwerze, na którym działała strona. To jedna z najgroźniejszych kategorii problemów, bo może dać przestępcom bardzo szerokie możliwości. Skutki takiego ataku dla firmy to między innymi:
podmienione treści na stronie,
dodany złośliwy kod,
przejęte konto administratora,
dostęp do danych zapisanych w systemie,
wykorzystanie strony do dalszych ataków,
ostrzeżenia od hostingu albo wyszukiwarki.
W takich przypadkach liczy się jak najszybsze zaktualizowanie WordPressa. Automatyczne aktualizacje pomagają, ale nie powinny być jedynym zabezpieczeniem. Przy stronie firmowej warto sprawdzić, czy poprawka na pewno została wdrożona.
Wtyczki pomagają, ale każda z nich zwiększa też ryzyko
Wtyczki to jedno z największych udogodnień WordPressa. Dzięki nim można szybko dodać formularz, statystyki, narzędzia związane z SEO, integrację z pocztą albo płatności. Problem w tym, że każde takie rozwiązanie to również dodatkowy kod, który trzeba utrzymywać.
W ostatnim czasie pojawiło się kilka informacji o atakach, które wykorzystywały podatności popularnych wtyczek.
Przykład pierwszy z brzegu. Everest Forms Pro, czyli wtyczka do formularzy, miała podatność pozwalającą w określonych warunkach wykonać złośliwy kod na serwerze. Atakujący mogli wykorzystać formularz nie do wysłania wiadomości, ale do uruchomienia własnych działań. Według Wordfence odnotowano dziesiątki tysięcy prób wykorzystania tej luki.
Z kolei wtyczka Gravity SMTP, używana do wysyłki maili ze strony, mogła ujawniać dane konfiguracyjne SMTP. Mówiąc prościej: osoba z zewnątrz była w stanie zdobyć informacje potrzebne do wysyłania wiadomości przez usługę podpiętą do strony. Taki wyciek może prowadzić do:
wysyłki spamu,
prób phishingu,
podszywania się pod firmę,
blokady domeny wysyłkowej,
problemów z dostarczaniem legalnych maili do klientów.
To dobry przykład sytuacji, w której strona nie musi zostać przejęta w całości, żeby firma miała poważny problem.
Przejęcie konta administratora bez hasła
Osobna grupa problemów dotyczyła wtyczek Kirki i Burst Statistics. W obu przypadkach najważniejsze ryzyko było podobne: przejęcie konta administratora.
W przypadku Kirki błąd dotyczył resetowania hasła. Mechanizm sprawdzał nazwę użytkownika, ale nie weryfikował poprawnie, czy podany adres e-mail rzeczywiście należy do tej osoby. Atakujący mógł więc znać login administratora, podać własny e-mail i przejąć konto.
Pojawił się również problem z Burst Statistics, czyli wtyczką do statystyk. Miała ona podatność pozwalającą obejść logowanie i podszyć się pod administratora. Po wejściu do panelu z takimi uprawnieniami można zmieniać treści, instalować dodatki, tworzyć kolejne konta i przejmować kontrolę nad stroną.
Najważniejszy wniosek jest prosty: silne hasło pomaga, ale nie wystarczy, jeśli podatny jest sam mechanizm działania wtyczki.
Co powinna sprawdzić firma korzystająca z WordPressa?
Mimo że w ostatnim czasie informacji o atakach było sporo, nie należy wpadać w panikę. Najważniejsze to jak najszybciej przyjrzeć się stronie i zminimalizować potencjalne ryzyko. Warto sprawdzić przede wszystkim:
czy WordPress jest aktualny,
czy wszystkie wtyczki i motywy mają najnowsze wersje,
czy na stronie nie ma wtyczek, których nikt już nie używa,
kto ma konto administratora,
czy w panelu nie pojawiły się nieznane konta,
czy kopie zapasowe są aktualne i możliwe do odtworzenia,
czy formularze, wysyłka maili i integracje działają poprawnie,
czy hosting albo narzędzia bezpieczeństwa nie zgłaszały nietypowej aktywności.
Przy poważnych podatnościach sama aktualizacja może nie wystarczyć. Trzeba jeszcze sprawdzić, czy ktoś wcześniej nie wykorzystał luki. Szczególnie podejrzane są nowe konta administratorów, nieznane wtyczki, zmienione pliki, dziwne wpisy w logach i nietypowa aktywność poczty.
WordPress potrzebuje opieki, nie tylko wdrożenia
WordPress może być dobrym rozwiązaniem dla firmy, ale nie powinien być traktowany jak projekt, który kończy się w dniu publikacji. Strona internetowa pracuje cały czas: zbiera zapytania, buduje zaufanie, wspiera sprzedaż i często jest pierwszym miejscem kontaktu klienta z marką.
Dlatego warto dbać o nią tak jak o inne ważne narzędzia w firmie. Regularne aktualizacje, przegląd wtyczek, kontrola kont administratorów i kopie zapasowe są dużo tańsze niż późniejsze radzenie sobie ze skutkami ataku.
Jeśli Twoja strona działa na WordPressie, możemy zająć się jej stałą opieką techniczną. Będziemy na bieżąco sprawdzać aktualizacje, wtyczki, zabezpieczenia, formularze i konta administratorów – zadbamy o to, żeby strona była aktualna, stabilna i jak najmniej podatna na podobne zagrożenia. Skontaktuj się z nami, aby ustalić szczegóły współpracy!
