וורדפרס - פרצת אבטחה בפלאגין העלאת תוספים

פרצת אבטחה בפאנל ניהול וורדפרס הינה בגדר פרצת אבטחה המסכנת את האתר כולו. פרצת אבטחה שהתגלתה על ידי SUCURI בפלאגין העלאת תוספים, הינו הוא דוגמה מושלמת לכך. אתר SUCURI מדווח על תופעה של פריצה לאתרי וורדפרס על ידי האקרים המנצלים לרעה את פונקציונליות העלאת התוספים בפאנל ניהול וורדפרס, במטרה להפנות את בעלי האתר ואת המבקרים בו, לאתרים זדוניים. SUCURI חקרו אם נוצרה פירצת אבטחה בערכת הנושא או באחד התוספים המותקנים והחליטו להצליב את התוספים המותקנים בכל אחד מאתרי הוורדפרס שנפרצו, כדי לראות אם ניתן לבצע השוואה בין אתרים אלו. התגלה כי לכל אחד מהם הותקן התוסף הבא: Log HTTP Requests. מתוך מחשבה שתוסף זה עשוי להכיל את פרצת האבטחה להעלאת קבצים, בדקו SUCURI את קוד התוסף. בבדיקה, בדרך כלל היו מצפים למצוא פונקציונליות move_uploaded_file, file_put או file_copy באמצעות משתמשים האקרים למטרות זדוניות, אולם בתוסף זה לא הייתה אף אחת מהפונקציות הללו. נשאלת השאלה: מדוע לכל אתר שנפגע היה תוסף זה? מתברר שתוסף זה לא היה פרצת האבטחה, אלא השיטה להעברת המטען הזדוני עצמו.

ברגע שההאקרים מבססים לעצמם דריסת רגל בפאנל ניהול וורדפרס הם מתקינים גרסה מאוחרת של תוסף Log HTTP Requests דרך תוסף העלאה (upload plugin) בפאנל ניהול וורדפרס. הם גם מתקינים את תוסף המטען המזויף שלהם "plugs.php" אותו הם מסתירים תחת השם "PHP Everywhere". לאחר התקנת תוסף זה, בעלי האתר ומבקרי האתר מנותבים לאתרים זדוניים או אתרי דואר זבל.

כבעלי אתרי וורדפרס, אחד הדברים שמומלץ לעשות כדי לא להיות קורבן להתקפה כזו, הוא להציב הגנות נוספות בפאנל ניהול וורדפרס. כברירת מחדל, הדבר היחיד העומד בין האקרים לבין שליטה באתר וורדפרס, הינו סיסמת חשבון הניהול המוגדרת בעת ההתקנה הראשונית של וורדפרס. אם סיסמה זו אינה מספיק חזקה, כנראה שזה רק עניין של זמן עד שפאנל ניהול וורדפרס ייפרץ. ישנן לא מעט הגנות נוספות אשר ניתן לבצע בפנל ניהול וורדפרס כגון: מגבלות גישה ל- IP, אימות שני גורמים, CAPTCHA, סיסמא משנית, מגבלה למספר ניסיונות כניסה כושלים, כתובת URL לא סטנדרטית.