جامعه وردپرس با یک بحران امنیتی بیسابقه مواجه شده است. هکرهای فعال در سراسر جهان در حال بهرهبرداری از دو آسیبپذیری امنیتی بحرانی هستند که کنترل کامل دهها میلیون وبسایت را در معرض خطر قرار میدهد. این وضعیت اضطراری پس از آن علنی شد که «آدام کیوز»، پژوهشگر شرکت امنیت سایبری Searchlight Cyber، نقص امنیتی پیچیدهای موسوم به WP2Shell را شناسایی کرد. ترکیب این آسیبپذیری با یک نقص مکمل دیگر، به مهاجمان اجازه میدهد تا بدون نیاز به دسترسی مستقیم، کدهای مخرب خود را از راه دور اجرا کرده و کنترل کامل سرور و پایگاه داده وبسایتهای قربانی را به دست بگیرند.
بحران امنیتی وردپرس؛ شناسایی آسیبپذیری خطرناک WP2Shell
این حفره امنیتی که به عنوان یک «آسیبپذیری بحرانی» طبقهبندی شده، به هکرها اجازه میدهد تا با عبور از سدهای حفاظتی، فرآیندهای غیرمجاز را در قلب سیستم مدیریت محتوای وبسایت اجرا کنند. در حالی که توسعهدهندگان وردپرس پچهای امنیتی لازم را برای مقابله با این تهدید منتشر کردهاند، شرکتهای برجسته امنیت سایبری از جمله Patchstack و WatchTowr هشدار میدهند که حملات همچنان با شدت بالا ادامه دارد و هدف اصلی هکرها، وبسایتهایی است که هنوز موفق به اعمال بهروزرسانیهای امنیتی نشدهاند.
۹۰ میلیون وبسایت در لبه پرتگاه؛ چه نسخههایی آسیبپذیرند؟
بررسیهای فنی نشان میدهد که تمامی نسخههای ۶.۹.۰ تا ۶.۹.۴ و همچنین ۷.۰۰ تا ۷.۰.۱ سیستم وردپرس در برابر این نفوذ بیدفاع هستند. اگرچه در ابتدا بیش از ۴۰۰ میلیون وبسایت در معرض خطر بودند، اما با انتشار وصلههای اصلاحی، این آمار کاهش یافته است. با این حال، «دنیل کارد»، مشاور ارشد امنیت سایبری، با تحلیل دادههای آماری اعلام کرده که حدود ۱۵ درصد از وبسایتهای فعال هنوز بهروزرسانی نشدهاند. این رقم به معنای آن است که حدود ۹۰ میلیون وبسایت در سراسر جهان همچنان در معرض خطر انهدام، سرقت اطلاعات حساس و تغییر ساختار سایت قرار دارند.
واکنش اتوماتیک و توصیههای حیاتی برای مدیران سایتها
در میان این هیاهوی امنیتی، شرکت Automattic که مدیریت سرویس بزرگ WordPress.com را بر عهده دارد، وضعیت پایگاههای زیرمجموعه خود را امن توصیف کرده است. سخنگوی این شرکت اعلام کرد که تمامی وبسایتهای میزبانیشده روی سرویسهای آنها، حتی پیش از انتشار عمومی کدهای اصلاحی، تحت پوشش درایوهای حفاظتی قرار گرفته و وصلهها بلافاصله اعمال شدند.
اما برای مدیران سایتهای مستقل که از میزبانی شخصی استفاده میکنند، وضعیت متفاوت است. کارشناسان امنیتی اکیداً توصیه میکنند که مدیران وبسایتها، اعمال بهروزرسانیهای امنیتی (Updates) را فوراً و بدون فوت وقت بررسی کنند. فعال کردن مکانیسم «آپدیت خودکار» برای نسخههای هسته وردپرس، سادهترین و مؤثرترین راهکار برای مقابله با این نفوذ گسترده است. عدم اقدام فوری در این زمینه میتواند به معنای از دست دادن کنترل کامل وبسایت و در معرض دید قرار گرفتن تمامی دادههای کاربران باشد.