WordPress ekotizimida katta xavfsizlik inqirozi

Dunyo bo'ylab millionlab veb-saytlar ishlatadigan ochiq kodli blog platformasi WordPress uchun mo'ljallangan o'nlab plaginlarda xavfli xatoliklar aniqlandi. Ushbu plaginlar ichiga backdoor (orqa eshik - tizimga ruxsatsiz kirish imkonini beruvchi yashirin kirish nuqtasi) joylashtirilganligi ma'lum bo'ldi.

Ushbu yashirin kirish nuqtalari orqali hujumkorlar plaginlardan foydalanayotgan istalgan veb-saytga zararli kodlarni yuborish imkoniyatiga ega bo'lishgan. Bu holat kiberxavfsizlik olamida juda jiddiy xavf hisoblanadi, chunki u minglab saytlarning ma'lumotlarini o'g'irlash yoki ularni butunlay ishdan chiqarish imkonini beradi.

Hujum qanday amalga oshirildi: Zanjirband hujumlar

Ushbu voqea kiberxavfsizlik mutaxassislari tomonidan supply chain attack (ta'minot zanjiri hujumi - dasturiy ta'minotning ishlab chiqish yoki tarqatish bosqichiga kirib, uni zararli qilish) deb ataladi. Anchor Hosting asoschisi Austin Ginderning ma'lum qilishicha, hujum Essential Plugin deb nomlangan plaginlar ishlab chiqaruvchisiga nisbatan amalga oshirilgan.

Voqealar rivoji quyidagicha bo'lgan:

  • O'tgan yili Essential Plugin kompaniyasini yangi korporativ egalik qiluvchi sotib olgan.
  • Yangi egalar plaginlarning source code (manba kodi - dasturning asl yozilgan matni) ichiga yashirin 'orqa eshik' kodlarini joylashtirgan.
  • Ushbu zararli kodlar uzoq vaqt davomida 'uxlab' yotgan va hech qanday shubha uyg'otmagan.
Muhim fakt: Zararli kodlar joriy oyning boshida faollashgan va plaginlar o'rnatilgan barcha saytlarga avtomatik ravishda zararli dasturlarni tarqatishni boshlagan.

Qancha foydalanuvchi zarar ko'rdi?

Essential Plugin kompaniyasi o'z veb-saytida plaginlari 400 000 marta o'rnatilgani va 15 000 dan ortiq mijozga ega ekanligini ta'kidlagan. Biroq, WordPress'ning rasmiy plaginlar sahifasidagi ma'lumotlarga ko'ra, bevosita zararli kodlar ta'siriga duch kelgan faol o'rnatishlar soni 20 000 tadan oshadi.

Plaginlar WordPress saytlariga qo'shimcha funksiyalar (masalan, kontakt formalar, SEO optimizatsiyasi yoki xavfsizlik vositalari) qo'shish imkonini beradi. Ammo buni amalga oshirish uchun plaginlar saytning ichki tizimiga to'liq kirish huquqini oladi. Bu esa, agar plagin zararli bo'lsa, butun saytni xavf ostiga qo'yishiga olib keladi.

WordPress tizimidagi tizimli zaifliklar

Austin Ginder ushbu voqea orqali WordPress platformasidagi jiddiy kamchilikka e'tibor qaratdi. Hozirgi kunda WordPress foydalanuvchilari o'zlari ishlatayotgan plaginning egalik huquqi o'zgargani haqida hech qanday bildirishnoma ololmaydilar.

Bu holat quyidagi xavflarni keltirib chiqaradi:

  • Yashirin egallash: Xavfsizlikka qiziquvchi kiberjinoyatchilar mashhur plaginlarni sotib olib, ularni millionlab foydalanuvchilarni nazorat qilish vositasiga aylantirishi mumkin.
  • Ishonchning suiiste'mol qilinishi: Foydalanuvchilar plagin yangilanganida uni xavfsiz deb hisoblab, avtomatik yangilashni yoqishadi, bu esa zararli kodning saytga kirishini osonlashtiradi.
  • Katta miqyosli hujumlar: Birgina plaginni nazorat qilish orqali minglab korporativ saytlarga bir vaqtning o'zida hujum qilish imkoniyati tug'iladi.

Kelajakdagi xavflar va foydalanuvchilarga tavsiyalar

Bu voqea so'nggi ikki hafta ichida aniqlangan ikkinchi yirik plagin bosqini hisoblanadi. Xavfsizlik tadqiqotchilari uzoq vaqtdan beri dasturiy ta'minotni sotib olish orqali dunyo bo'ylab kompyuterlarni nazorat qilish strategiyasi haqida ogohlantirib kelishgan.

Hozirda zararli plaginlar WordPress katalogidan olib tashlangan va ularning faoliyati doimiy ravishda to'xtatilgan deb belgilangan. Biroq, bu hamma narsa hal bo'ldi degani emas.

Foydalanuvchilar nima qilishi kerak?

  1. Tekshirish: Saytingizda Essential Plugin kompaniyasiga tegishli plaginlar o'rnatilganligini tekshiring.
  2. O'chirish: Agar shunday plaginlar topilsa, ularni zudlik bilan o'chirib tashlang.
  3. Parollarni yangilash: Sayt administratori parollari va ma'lumotlar bazasi kalitlarini yangilash tavsiya etiladi, chunki 'orqa eshik' orqali bu ma'lumotlar o'g'irlangan bo'lishi mumkin.
  4. Xavfsizlik skanerlari: Saytni professional xavfsizlik skanerlari yordamida tekshirib, qolgan zararli fayllarni tozalang.

Essential Plugin vakillari ushbu voqea bo'yicha izoh berishdan bosh tortishdi.