Co grozi stronie WordPress, której nie aktualizujesz? 7 zagrożeń

Komunikat „dostępna aktualizacja” łatwo odłożyć na później. A to jedna z najważniejszych barier przed włamaniem. Wyjaśniamy prostym językiem, co może się stać, gdy strona zostaje w tyle.

1. Znane luki są publiczne, a ataki zautomatyzowane

Gdy ktoś znajdzie lukę w motywie, wtyczce lub samym WordPressie, informacja o niej trafia do publicznych baz, a poprawka do nowej wersji. Od tej chwili każdy, także osoby o złych zamiarach, wie, jak działa błąd i które wersje są podatne. Specjalne programy-roboty przeszukują internet w poszukiwaniu takich stron, bez względu na to, czy to mała firma, czy duży sklep. Strona bez aktualizacji trafia na listę łatwych celów.

2. Złośliwy kod i przejęcie strony

Najczęstszy skutek włamania to wgranie na serwer obcego kodu: ukrytych skryptów, fałszywych formularzy wyłudzających dane albo stron podszywających się pod banki. Zdarzają się też tzw. backdoory, czyli „tylne drzwi”, dzięki którym włamywacz może wrócić nawet po sprzątaniu. Właściciel często dowiaduje się o problemie dopiero od klienta, od hostingu albo z ostrzeżenia w przeglądarce.

3. Spam i przekierowania, które psują pozycję w Google

Włamywacze lubią wykorzystywać cudzą reputację. Na zainfekowanej stronie pojawiają się setki podstron z reklamami leków, kasyn czy podróbek albo odwiedzający są przekierowywani na obce witryny. Google może to uznać za naruszenie zasad, obniżyć widoczność strony albo oznaczyć ją ostrzeżeniem. Odbudowa zaufania trwa zwykle dłużej niż samo usunięcie infekcji.

4. Wyciek danych i obowiązki wynikające z RODO

Jeśli na stronie działają formularze, sklep, konta użytkowników lub zapisy na newsletter, włamanie może oznaczać dostęp do danych osobowych. Firma, która je zbiera, musi wtedy ocenić incydent, a jeśli naruszenie może zagrażać prawom osób, zgłosić je do Prezesa UODO bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od stwierdzenia (art. 33 RODO). Zaniedbane aktualizacje trudno później uzasadnić jako „odpowiednie środki techniczne”.

5. Wykorzystanie Twojego serwera do ataków na innych

Przejęta strona bywa używana do rozsyłania spamu, atakowania innych witryn albo „kopania” kryptowalut. Skutki to wolniejsza strona, wpisanie adresu serwera na listy blokujące (przez co Twoje maile trafiają do spamu) lub zawieszenie konta przez hosting.

6. Awarie po zmianach na serwerze

Firmy hostingowe co jakiś czas podnoszą wersję PHP (języka, w którym działa strona) i wycofują stare, które nie dostają już poprawek bezpieczeństwa. Stara wtyczka bywa wtedy niezgodna z nową wersją, a zamiast strony widać biały ekran. Naprawa po kilku latach zaniedbań jest droższa niż regularne, drobne aktualizacje.

7. Koszt, którego można było uniknąć

Sprzątanie po włamaniu, odzyskiwanie pozycji w Google, przestój sklepu czy utracone zapytania od klientów zwykle kosztują więcej niż systematyczna opieka. Aktualizacje to najtańszy element bezpieczeństwa, o ile są robione rozsądnie.

Jak aktualizować bezpiecznie?

• przed zmianami zrób kopię zapasową plików i bazy danych (czyli „magazynu” treści strony) i trzymaj ją poza serwerem strony,
• aktualizuj po kolei, najlepiej najpierw na kopii testowej (tzw. staging, czyli próbnej wersji strony niewidocznej dla klientów), a dopiero potem na prawdziwej stronie,
• po każdej zmianie sprawdź kluczowe funkcje: formularz kontaktowy, koszyk, logowanie i płatności,
• włącz automatyczne aktualizacje bezpieczeństwa tam, gdzie ryzyko awarii jest niskie,
• usuń wtyczki i motywy, których nie używasz, oraz te porzucone przez autorów,
• ustaw powiadomienia o awarii, żeby dowiadywać się o niej pierwszy.

Nie masz czasu lub pewności, jak to robić? Zobacz, jak wygląda stała opieka nad WordPress i zabezpieczanie stron WWW w MAQ Enterprise. Żadne działania nie dają stuprocentowej gwarancji, ale regularne aktualizacje zdecydowanie zmniejszają ryzyko.

O autorze artykułu

Autor artykułu Paweł Makulski Od 2012 roku zajmuje się bezpieczeństwem stron WordPress i SEO. Posiada certyfikat bezpieczeństwa Google. Na co dzień pomaga firmom tak prowadzić strony internetowe, by były szybkie, bezpieczne i dobrze widoczne w wyszukiwarkach, a trudne zagadnienia techniczne tłumaczy zwykłym językiem.