WordPress tizimidagi jiddiy nuqson: Millionlab saytlar xakerlar hujumi ostida qoldi

Dunyo boʻylab millionlab veb-resurslar asos qilib olgan WordPress kontentni boshqarish tizimida (CMS) oʻta xavfli zaifliklar aniqlandi. Kiberxavfsizlik boʻyicha mutaxassislarning ogohlantirishicha, xakerlar allaqachon ushbu tizimning eski versiyalarida ishlovchi saytlarga ommaviy hujumlarni boshlab yuborgan. Mazkur muammo nafaqat shaxsiy bloglar, balki yirik korporativ portallar xavfsizligiga ham jiddiy tahdid solmoqda. Bu haqda Techcrunch.com xabar beradi.

Oʻtgan haftada WordPress ishlab chiquvchilari ikkita kritik xavfsizlik nuqsonini bartaraf etuvchi yangilanishni eʻlo qildilar va barcha foydalanuvchilarni dasturiy taʻminotni “zudlik bilan” yangilashga chaqirdilar. Vaziyatning jiddiyligi shundaki, tizim maʻmurlari imkon qadar barcha saytlarda majburiy avtomatik yangilanish rejimini ishga tushirishgan. Biroq, koʻplab saytlar hali ham xavf ostida qolmoqda.

Xavf koʻlami va WP2Shell tahdidi

Patchstack, Hexastrike va WatchTowr kabi kiberxavfsizlik kompaniyalari xakerlar ushbu zaifliklardan foydalanib, himoyalanmagan saytlarni toʻliq nazorat ostiga olayotganini tasdiqladi. TechCrunch nashri xabariga koʻra, ayniqsa 6.9.0 dan 6.9.4 gacha hamda 7.0.0 dan 7.0.1 gacha boʻlgan versiyalar eng zaif nuqtalar hisoblanadi. Tadqiqotchi Adam Kues tomonidan aniqlangan va “WP2Shell” deb nomlangan xatolik xakerlarga masofadan turib sayt boshqaruvini qoʻlga kiritish imkonini beradi.

Kiberxavfsizlik boʻyicha maslahatchi Daniel Card oʻtkazgan tahlillarga koʻra, internetdagi WordPress saytlarining taxminan 15 foizi hali ham yangilanmagan. Agar bu koʻrsatkich umumiy saytlar soniga nisbatan olinsa, dunyo boʻylab qariyb 90 millionga yaqin resurs xakerlar uchun “ochiq eshik” boʻlib turibdi. Rasmiy statistikaga koʻra, eski versiyalarda ishlovchi saytlar soni hatto 400 milliondan ortishi mumkin.

Oʻzbekiston segmentidagi koʻplab axborot saytlari va tadbirkorlik subʻektlarining sahifalari ham aynan WordPress platformasida yaratilganini hisobga olsak, mahalliy IT-mutaxassislari uchun ham ogohlik qoʻngʻrogʻi chalinmoqda. Sayt xavfsizligini taʻminlash uchun quyidagi choralarni koʻrish tavsiya etiladi:

• WordPress yadrosini eng soʻnggi xavfsiz versiyaga yangilash;
• Barcha plagin va mavzularni (themes) tekshirib chiqish va yangilash;
• Cloudflare kabi himoya xizmatlaridan va veb-fayrvollardan (WAF) foydalanish;
• Admin panelga kirish uchun ikki bosqichli autentifikatsiyani yoʻlga qoʻyish.

Hozircha WordPress loyihasi ortida turgan Automattic kompaniyasi vaziyat boʻyicha qoʻshimcha rasmiy bayonot bergani yoʻq. Mutaxassislar Cloudflare kabi servislar koʻplab hujumlarni bloklayotganini, ammo eng ishonchli yoʻil baribir tizimni qoʻlda yoki avtomatik tarzda yangilash ekanini taʻkidlashmoqda. Aks holda, xakerlar saytga zararli kodlar joylashtirishi yoki foydalanuvchilarning shaxsiy maʻlumotlarini oʻgʻrlashi mumkin.