Peisajul amenințărilor de securitate WordPress din 2024: tendințe și statistici cheie

WPScan a lansat recent revizuirea vulnerabilităților și amenințărilor din 2023 la adresa site-urilor WordPress. Cu aceste informații în mână, proprietarii de site-uri și profesioniștii WordPress deopotrivă pot naviga în 2024 puțin mai în siguranță.

Condus de experți dedicați în securitate, WPScan menține baza de date principală cu amenințări la adresa ecosistemului WordPress. Utilizat de cei mai buni profesioniști din industrie, WPScan este considerată cea mai completă resursă disponibilă. Până în prezent, WPScan și colaboratorii au identificat, verificat și clasificat peste 49.000 de vulnerabilități.

Baza de date este utilizată de organizații comerciale precum Mercedes-Benz Group, WP Engine, Accenture și Kinsta. De asemenea, oferă instrumente de securitate renumite WordPress, cum ar fi Jetpack Scan, care este disponibil prin Jetpack Protect sau cu un plan Jetpack Security.

De ce există acest raport? De unde vin datele?

Echipa WPScan este dedicată identificării, verificării și indexării amenințărilor la adresa ecosistemului WordPress, astfel încât instrumentele de securitate WordPress (cum ar fi Jetpack Security) să poată proteja eficient împotriva lor și să protejeze comunitatea.

Identificarea și înțelegerea amenințărilor sunt primii pași în protecția securității cibernetice.

Datele din acest raport au fost compilate din vulnerabilități dezvăluite de WPScan și verificate de cercetătorii lor de securitate, precum și dintr-un eșantion de peste 350.000 de site-uri web și servicii Automattic care utilizează Jetpack Scan sau Jetpack Protect.

Ce am învățat?

Nu ai timp să citești raportul complet? Nu vă faceți griji. Vă oferim un rezumat al punctelor cheie.

XSS atrage multă atenție, dar injecțiile SQL sunt o amenințare mai răspândită

Cross-site scripting atrage multă atenție. Este adesea raportat de către vânătorii de recompense de erori și cercetătorii de securitate (53% din toate vulnerabilitățile dezvăluite).

Dar cel mai comun tip de amenințare – așa cum este demonstrat prin încercările efective blocate de firewallul Jetpack – sunt de fapt injecțiile SQL. Amenințarea unei injecții SQL tinde să fie deosebit de gravă, deoarece este nevoie de puțină sau deloc autentificare pentru a exploata acest tip de vulnerabilitate.

Două amenințări sunt cele mai frecvente când vine vorba de securitatea WordPress

Raportul a confirmat ceea ce știm deja: acreditările slabe ale utilizatorului și pluginurile anulate sunt poarta de acces pentru majoritatea atacurilor.

Aceasta înseamnă că administratorii site-ului pot preveni majoritatea problemelor de securitate prin păstrarea software-ului la zi și prin autentificarea puternică.

Peste 20% dintre vulnerabilități nu au necesitat autentificare

Echipa WPScan analizează vulnerabilitățile pentru a determina nivelul de autentificare necesar pentru a exploata codul afectat. În timp ce aproximativ o treime din toate vulnerabilitățile ar necesita acces la un cont de administrator (reducerea riscului de exploatare), 22% dintre vulnerabilitățile dezvăluite nu ar necesita absolut nicio autentificare sau doar un cont la nivel de abonat.

Atacurile malware rămân predominante

Jetpack Scan (care utilizează baza de date WPScan) a identificat 70.000 de site-uri cu cel puțin un fișier rău intenționat. Cele mai multe cauze pot fi urmărite fie din (ai ghicit!) acreditări scurse/slabe, fie din software anulat.

75% (600.000 de fișiere rău intenționate) au fost determinate a fi malware generic.

Instrumentele existente funcționează

Firewall-ul Jetpack a blocat peste șapte milioane de solicitări care implică o vulnerabilitate de mare severitate - prevenind nenumărate atacuri XSS pe site-uri pe cale de dispariție.

Raportul afirmă,

Firewall-ul Jetpack, deși o adăugare recentă la suita Jetpack Security , își dovedește valoarea prin blocarea potențialelor atacuri la începutul ciclului, împiedicând atacatorii să pună picior pe site-urile protejate.

Firewall-ul Jetpack a blocat, de asemenea , mai mult de jumătate de milion de atacuri de injectare SQL și de traversare a căii.

Ce ar trebui să facă în continuare profesioniștii în securitate cibernetică și WordPress?

Nu poți preveni atacurile dacă nu știi ce să cauți. WPScan oferă cea mai robustă și actualizată bibliotecă de amenințări verificate. Dezvoltatorii și profesioniștii în securitate cibernetică îl pot încorpora în programele lor interne printr-un API pentru a-și consolida apărarea.

Echipele de securitate web pot folosi, de asemenea, scanerul CLI al WPScan ca parte a testării de penetrare. Oferă o privire din exterior asupra informațiilor pe care hackerii le pot vedea despre site-ul tău fără autentificare.

Dezvoltatorii și organizațiile de întreprindere ar trebui să contacteze imediat WPScan pentru a vedea dacă este cel mai bun instrument pentru funcționarea lor.

Ce ar trebui să facă proprietarii de site-uri WordPress în continuare?

Evaluarea de către WPScan a ecosistemului de securitate WordPress demonstrează că amenințările persistă. Vestea bună este că cele mai răspândite pot fi dejucate destul de ușor. Proprietarii de site-uri WordPress pot folosi baza de date WPScan prin Jetpack Protect și pot obține acces la o suită completă de instrumente de prevenire și recuperare cu Jetpack Security.

Implementați autentificarea puternică

Parolele slabe nu sunt doar cea mai comună slăbiciune în securitatea cibernetică, ci și una dintre cele mai ușor de remediat. Puteți solicita parole puternice de la utilizatori și vă puteți educa echipa despre cele mai bune practici pentru parole, cum ar fi utilizarea unui amestec de numere, litere și caractere speciale, a avea acreditări unice pentru fiecare site și actualizarea parolelor în mod regulat.

De asemenea, este posibil să doriți să solicitați autentificare cu doi factori, în special pentru conturile la nivel de administrator.

Atribuiți rolurile de utilizator adecvate și urmați principiul celui mai mic privilegiu

Rolurile de utilizator WordPress sunt puternice, deoarece vă permit să acordați acces la anumite funcții în funcție de aria de responsabilitate a unei persoane. Limitarea numărului de roluri de nivel înalt atribuite reduce numărul de puncte de acces și permite o mai mare educație și responsabilitate în ceea ce privește parolele și autentificarea sigură.

Cunoscut drept principiul cel mai mic privilegiu, utilizatorii ar trebui să aibă acces doar la cel mai mic rol necesar pentru funcțiile lor necesare.

Țineți actualizate de bază, temele și pluginurile

Alături de parolele slabe, software-ul învechit este cea mai comună rădăcină a atacurilor de succes. Site-ul dvs. ar trebui să folosească cea mai recentă versiune de bază WordPress, tema dvs. și orice plugin instalat.

Pe măsură ce se descoperă vulnerabilități, dezvoltatorii de pluginuri reputați vor lansa actualizări pentru a le corecta. Ignorarea acestor actualizări va lăsa site-ul expus.

Instalați un plugin de securitate WordPress

Pentru cea mai completă protecție, proprietarii de site-uri trebuie să facă un pas dincolo de parole puternice, software actualizat și atribuirea corectă a rolurilor de utilizator. Veteranții profesioniști WordPress știu că pluginul de securitate WordPress potrivit va ajuta la prevenirea intruziunilor și va oferi opțiuni de recuperare în cazul în care cineva trece.

Dacă doriți o protecție completă cu complicații minime — Jetpack Security este soluția de care aveți nevoie. Iată doar câteva dintre ceea ce este inclus:

• Monitorizarea timpilor de nefuncţionare . Aflați imediat că există o problemă cu site-ul dvs., astfel încât să puteți lua măsuri imediate.

• Un firewall pentru site-ul web . Raportul WPScan a menționat în mod repetat atacuri zădărnicite de firewall-ul Jetpack. Obțineți acces la el cu Jetpack Security.

• Scanare malware în timp real și remedieri cu un singur clic . Obțineți acces la baza de date completă a WPScan și scanați-vă continuu site-ul pentru malware și vulnerabilități. Și mai bine - veți obține și soluții cu un singur clic pentru majoritatea problemelor.

Nu aveți nevoie de un plugin de securitate complet, dar doriți acces la baza de date WPScan pentru scanarea vulnerabilităților și a programelor malware? Aceste caracteristici sunt disponibile și într-un plugin independent, Jetpack Protect .

• Backup-uri în timp real . Amintiți-vă, aveți nevoie și de o metodă de recuperare în cazul în care un atacator reușește. Jetpack VaultPress Backup salvează totul de pe site-ul dvs. și înregistrează toată activitatea. Restaurați la un moment exact și examinați-vă jurnalul pentru a depana și a preveni problemele viitoare. Puteți accesa și restabili copii de siguranță chiar dacă site-ul dvs. este complet oprit, de pe dispozitivul dvs. mobil.

• Protectie spam . Comentariile nedorite, irelevante și trimiterile de formulare sunt mai mult decât enervante - sunt periculoase pentru tine și vizitatorii tăi. Jetpack Security vine cu Akismet Anti-spam, astfel încât să puteți preveni 99% din spam fără a forța vizitatorii să completeze un CAPTCHA agravant.

• Protecție împotriva atacurilor de forță brută . Atacurile cu forță brută sunt o amenințare destul de comună pentru WordPress. De asemenea, pot fi oprite cu ușurință cu Jetpack Security.

Jetpack și WPScan: lucrează împreună pentru un WordPress mai sigur

Echipa WPScan lucrează neobosit pentru a menține cea mai precisă bază de date cu vulnerabilități WordPress. Profesioniștii WordPress și organizațiile de întreprindere se pot integra cu instrumentele WPScan pentru cea mai avansată protecție disponibilă.

Proprietarii de site-uri WordPress accesează aceleași informații prin Jetpack Security, alături de alte instrumente de securitate. Acest plugin de securitate funcționează pur și simplu cu un efort minim și un efort continuu. Site-ul dvs. este pur și simplu protejat .

Aflați mai multe despre Jetpack Security.

Aflați mai multe despre WPScan.