- Мы просканировали топ-10000 Quantcast, многие сайты нуждаются в критических обновлениях После недавнего...
- Не обновлять WordPress - отличный способ взломать
- WordPress делает эти обновления по причине
- Взлом WordPress может случиться с кем угодно
- Что нужно сделать, чтобы сохранить ваш сайт WordPress в безопасности
Мы просканировали топ-10000 Quantcast, многие сайты нуждаются в критических обновлениях
После недавнего обновления WordPress до версии 4.9.5 мы решили провести небольшое исследование, чтобы выяснить, насколько быстро обновлялись веб-сайты WordPress и сколько их было несколько раз позади. То, что мы нашли, было, по меньшей мере, смущающим. 49% сайтов WordPress в Topcast 10000 Quantcast не используют последнюю, самую безопасную версию WordPress. И 33% являются многократными обновлениями.
«WordPress является платформой номер один в мире, используемой для создания веб-сайтов», - говорит Адам Коэн веб-разработчик и эксперт по безопасности с более чем 15-летним опытом. «С учетом количества сайтов, запущенных из WordPress в миллионах, это также самая распространенная платформа для атак хакеров. Потому что, если они найдут какие-либо эксплойты, они могут быть воспроизведены на сотнях тысяч сайтов ».
Это делает тот факт, что многие сайты не идут в ногу с новыми выпусками, вызывает огромную обеспокоенность. Эти сайты играют быстро и свободно с известными уязвимостями. Вот как тебя взломали.
Методология и ключевые выводы
Для проведения нашего опроса мы создали инструмент для сканирования домашних страниц каждого веб-сайта в Quantcast Топ 10000 , Сканирование было выполнено 5 апреля 2018 года, через два дня после выпуска WordPress 4.9.5. Через 48 часов после официального выпуска любой сайт, настроенный для автоматического обновления, уже сделал бы это.
Из топ-100 Quantcast 17% домашних страниц сайта работали на WordPress. Общее количество сайтов, которые могут использовать WordPress для своих блогов или других частей своих сайтов, очевидно, намного выше, но из-за сложности и длительности такого сканирования мы решили остаться только с домашними страницами.
Вот наши основные выводы:
- 17% сайтов в Topcast Quantcast работают в основном на WordPress
- 50,93% этих веб-сайтов WordPress работают на последней, самой безопасной версии
- 49,07% сайтов WordPress не работают с последней версией
- 33,58% сайтов WordPress имеют как минимум два обновления
Не обновлять WordPress - отличный способ взломать
Давайте поговорим о том, почему это так важно. И прежде чем идти дальше, поймите, что это универсальная проблема. Организации постоянно взвешивают необходимость исправления, обновления и укрепления своих систем с учетом связанных с этим затрат, как с точки зрения цены, так и времени простоя / перерывов в работе. Это касается не только сайтов WordPress.
«Многие люди отказываются от обновлений WordPress, потому что они опасаются, что они повлияют на стабильность сайта», - говорит Пол Бишофф, эксперт по безопасности и защитник конфиденциальности. Comparitech.com , «Плагины WordPress могут перестать работать, например. Если вы внесли изменения в тему, но не поместили эти изменения в дочернюю тему, эти изменения могут быть удалены в следующем обновлении. Если вы занимаетесь каким-либо бизнесом в сети, вероятность простоя может показаться более дорогостоящей, чем риск вредоносных программ или атак ».
Старший веб-разработчик и эксперт по WordPress Кен Доус быстро предупреждает владельцев сайта, что WordPress требует постоянного внимания.
«Самая большая проблема в безопасности WordPress (или любого другого сайта) заключается в том, чтобы заставить людей осознать, что наличие веб-сайта WP похоже на наличие щенка», - говорит Доус. «Если вы не позаботитесь об этом - кормление, уход, прививки и тому подобное - у вас будут проблемы».
Забота об этом означает регулярное обновление до последней версии и обновление ваших плагинов.
WordPress делает эти обновления по причине
Как и любое другое программное обеспечение, WordPress регулярно выпускает обновления. Хотя эти обновления также предоставляют новые функции, улучшения безопасности имеют решающее значение. И киберпреступники обращают внимание на то, что исправлено.
«Люди не понимают, что хакеры часто сами не находят уязвимости в программном обеспечении», - говорит Бишофф. «Когда издатель программного обеспечения, такой как WordPress, выпускает патч, включающий обновление для системы безопасности, он предупреждает хакеров о том, что в любой установке WordPress, которая не выполнила указанное обновление, будет существовать уязвимость. Если вы не обновляете, вы цель. Чем дольше вы ждете, тем более уязвимы вы.
Тревожно то, что почти половина сайтов WordPress в Topcast Quantcast не попала в последнее обновление. Тот факт, что более трети, 33,58% - несколько версий позади, является совершенно опасным.
«Как только ваш сайт взломан, его очень сложно восстановить. По сути, хакеры, которые заходят на ваш сайт, создают новые скрытые точки входа, и если вы не закроете их все, им будет легко найти путь назад. Результаты ужасны для бизнеса », - говорит Маздак Мохаммади, глава канадского WordPress Design. Студия, BlueBerryCloud ,
«Хорошая новость заключается в том, что WordPress позволяет легко обновлять установку вместе с плагинами через панель администратора WordPress. Ваш веб-разработчик должен быть в состоянии сделать это за вас, в противном случае вы можете запросить доступ и выяснить это самостоятельно. Это не ракетостроение, а также, если обновление завершится неудачно, WordPress автоматически вернет ваш веб-сайт к моменту времени до того, как вы запустите обновление ».
Взлом WordPress может случиться с кем угодно
Малый и средний бизнес не застрахован от взлома. Это распространенное заблуждение, которое не подкрепляется статистикой. По факту, Отчет об угрозах Symantec за 2017 год говорит, что 74% малых и средних предприятий были мишенью в прошлом году. И Национальный альянс по кибербезопасности сообщает, что 60% малых и средних предприятий обанкротились в течение шести месяцев после взлома данных.
Это может случиться с вами.
«К счастью, вы найдете владельцев сайтов, которые говорят:« Я ничего не обновлял годами, и меня не взломали! Так в чем же дело? »Или…« Я просто маленький парень, они не будут беспокоиться о моем сайте », - говорит Доус. «Это игра чисел. Все сайты каждый день подвергаются случайным атакам хак-ботов. Боты просто просматривают списки IP-адресов и атакуют, используя списки известных уязвимостей, которые можно использовать. Все, что нужно компании, - это чтобы ее сайт был уязвим для нужного бота в неподходящее время ».
«Когда в версии WordPress обнаруживается уязвимость, хакеры создают эксплойт для этой уязвимости, а затем создают широкую сеть, обычно в автоматическом режиме, чтобы выяснить, кто не в курсе», - добавляет Грег Келли, представитель EnCE. и DFCP с Цифровые исследования Vestige , «Осознайте важность« широкой сети », им все равно, кто вы или чем вы занимаетесь, просто у вас есть сайт. После взлома хакер увидит, что они могут получить от своего сайта, например информацию об учетной записи, и, возможно, попытается использовать эту информацию для атаки на другие системы, которые у вас могут быть. По крайней мере, хакер взломает ваш сайт или использует его для хранения важных для них данных (украденные данные, нелегальные фотографии и т. Д.). Результатом, по крайней мере, является плохое публичное изображение, когда обнаруживается, что ваш сайт был взломан ».
Или вы можете пойти по пути почти 60% SMB, которые подвергаются атакам и в конечном итоге проваливаются.
Что нужно сделать, чтобы сохранить ваш сайт WordPress в безопасности
Очевидно, что самый большой совет, который вы можете здесь извлечь, заключается в том, что вам нужно быть в курсе обновлений WordPress, как для самой CMS, так и для плагинов, которые вы используете вместе с ней.
«Когда будут обнаружены уязвимости плагинов и тем и выпущены исправления, ваша информационная панель покажет, что доступно обновление», - говорит Боб Херман, соучредитель и президент ИТ Трополис , «Кроме того, всегда используйте дочерние темы, чтобы вы могли обновить все темы в вашей установке, не затрагивая ваш сайт. Wordfence - отличный плагин, который уведомляет вас о важных проблемах в вашей установке. И, если вы не хотите обновлять WordPress, потому что плагин может быть несовместим с последней версией, то, вероятно, его не стоит использовать. Наиболее распространенные плагины обновляются синхронно с WordPress, так что уязвимости могут быть исправлены как можно быстрее ».
У Коэна также есть несколько дополнительных советов:
«Убедитесь, что вы регулярно обновляете свои пароли и что ваша хостинговая компания ежегодно обновляет библиотеки Linux / Unix, Php и MySQL (и при необходимости устанавливает исправления). Удалите старые плагины или темы, когда они не используются или устарели. Установите сервис, такой как Sucuri или Wordfence, для мониторинга файлов и доступа к вашему сайту ».
Но, прежде всего, если вы берете только одну вещь из этой статьи, не попадитесь в ловушку, думая, что вам не нужно оставаться в курсе обновлений.
«Это ложная экономика, чтобы не обновлять все», - говорит Доус. «Если компания не хочет делать обновления, потому что она боится, что их сайт сломается, то им нужно знать о повышенном риске взлома своего сайта и быть готовым принять те риски, что их сайт будет взломан. И если на сайте компании есть личная информация о посетителях сайта - имена, адреса электронной почты, данные кредитной карты и т. Д. - им лучше быть очень принятие своих юридических обязательств! »
Как всегда, оставляйте любые комментарии или вопросы ниже!
Так в чем же дело?
Добавить комментарий!