Безпека WordPress важлива!
🇺🇸 A massive supply chain attack just hit over 1.2 million WordPress websites, and the lessons are loud and clear: even deactivated plugins can leave you wide open. If you run a site (or host them for clients), this is your wake-up call to tighten up security before the next breach.
🔥 The attack targeted three popular marketing plugins — OptinMonster, TrustPulse, and PushEngage. Hackers didn’t hit the plugins directly. They compromised external scripts these plugins loaded. When an admin logged in, the malicious code got full administrator access.
🛡️ Attackers weren’t just messing around — they installed hidden backdoors for long-term control:
- Приховані облікові записи адміністратора (наприклад, developer_api1 або wpsecurebot)
- Зловмисне програмне забезпечення приховано з інформаційної панелі
- SEO-спам, підроблені оновлення браузера та навіть майнери криптовалют
Ключовий висновок: видалення або дезактивації плагіна недостатньо. Якщо він коли-небудь був встановлений, ретельно проскануйте.
Як перевірити та очистити свій сайт WordPress
- Перегляньте облікові записи адміністраторів — не довіряйте лише сторінці користувачів. Перевірте таблицю бази даних wp_users (або скористайтеся WP-CLI) на наявність невідомих адміністраторів.
- Перевірте папки плагінів — шукайте в wp-content/plugins/ і wp-content/mu-plugins/ щось підозріле.
- Змінити все — скинути всі паролі адміністратора, відновити солі, оновити паролі бази даних і змінити ключі API.
Розумні практики безпеки в майбутньому
- Повністю видалити плагіни та теми, які не використовуються — вимкнено ≠ безпечно.
- Використовуйте надійний плагін журналу активності (наприклад, журнал активності WP), щоб відстежувати зміни.
- Додайте двофакторну автентифікацію та захист від грубої сили.
- Слідкуйте за оновленнями та регулярно скануйте зловмисне програмне забезпечення.
🇺🇸 America-first take: In a digital world full of threats, real security comes from ownership and vigilance — not trusting third-party scripts or “set it and forget it” plugins. Self-hosted WordPress on reliable hosting (with server-level protections) gives you the control you need to protect your business and data.
Постачальники хостингу, такі як HostRite, додають додаткові рівні (ізоляція Jail Host, щоденне резервне копіювання, блокування на рівні сервера), але власник сайту все одно повинен виконати свою частину.
Що ви думаєте? Потрапили під щось подібне або отримали важливі поради щодо безпеки для користувачів WordPress? Поділіться нижче!
