Bir eklentide ya da temada bilinen bir güvenlik açığı var

ÖnemYüksek

KapsamTüm site

EmekOrta

DoğrulamaGüvenlik taraması (haftalık ya da Yeniden tara)

Kural anahtarısec_plugin_vulnerable

Kısa cevap

Sayfalarınızın yüklediği en az bir eklenti ya da tema, Wordfence Intelligence'ta açığı olan olarak listelenen bir sürümle çalışıyor. Sorun her birini CVE, CVSS puanı ve düzeltilmiş sürümüyle listeler. Onları güncelleyin; düzeltilmiş sürüm yoksa eklentiyi devre dışı bırakıp silin ve yerine başkasını koyun.

Neden önemli

Eklentiler ve temalar WordPress sitelerine girmenin en yaygın yoludur. Kimlik doğrulamasız dosya yükleme, SQL enjeksiyonu ya da yetki yükseltme gibi açıklar yayımlandıktan sonraki günler içinde toplu olarak istismar edilir, çünkü etkilenen sürüm, tam da Glimana'nın burada yaptığı gibi, dışarıdan kolayca anlaşılır. Başarılı bir saldırı genellikle spam sayfaları, yönlendirmeler ya da yeni bir yönetici hesabıyla biter; ardından Google sonuçlarında "Bu site saldırıya uğramış olabilir" uyarısı gelir.

Glimana bunu nasıl tespit eder

WordPress sitelerinde Glimana eklenti ve tema klasör adlarını ana sayfanızdaki ve iki örnek sayfadaki /wp-content/plugins/… ve /wp-content/themes/… adreslerinden alır. Sürüm bu dosyalardaki ?ver= değerinden (WordPress sürümüne eşitse yok sayılır), yoksa eklentinin readme.txt dosyasındaki Stable tag ya da temanın style.css dosyasındaki Version satırından okunur (tarama başına en çok sekiz dosya). Her sürüm Wordfence Intelligence'taki etkilenen aralıklarla eşleştirilir; önem, en ciddi eşleşmenin önemidir (Wordfence derecesi ya da CVSS 9+ kritik, 7+ yüksek, 4+ orta). Bu sayfalarda hiçbir şey yüklemeyen ve sürümü okunamayan eklentiler değerlendirilmez. Açık verisi yüklenmeden kontrol Henüz çalışmıyor görünür. Açık verisi: Wordfence Intelligence, © Defiant, Inc.

Nasıl düzeltilir

Dikkat

Devre dışı bırakılan eklenti sunucuda durmaya devam eder ve dosyalarına doğrudan saldırılabilir: yalnız devre dışı bırakmayın, silin. WordPress.org'da kapatılmış bir eklenti hiçbir zaman düzeltme almaz. readme.txt içindeki Stable tag yazarın beyan ettiği sürümdür; bulgunun yanlış olduğuna karar vermeden önce Eklentiler ekranındaki sürümle karşılaştırın.

Glimana'da bulguyu bulun. Güvenlik sayfasını açın; bu kontrol Güncel olmayan yazılım grubunda, son taramanın kanıtı başlığının altında. Aynı sorun Sorunlar › Bir eklentide ya da temada bilinen bir güvenlik açığı var altında da listelenir.
Düzeltmeyi platformunuzda uygulayın.

WordPress yönetim paneliYönetilen barındırmaWP-CLI

Başlangıç › Güncellemeler ya da Eklentiler › Yüklü eklentiler bölümünü açın ve listelenen her eklenti için Şimdi güncelle'ye tıklayın; temalar Görünüm › Temalar altındadır. Güvendiğiniz eklentilerde Otomatik güncellemeleri etkinleştir'i açın. Ücretli eklenti ve temaları satıcının lisansı üzerinden güncelleyin ya da yeni sürümü oradaki hesabınızdan indirin.

Bazı barındırma firmaları eklenti güncellemelerini yönetir ya da engeller veya popüler eklentilerin kendi kopyasını tutar. Barındırma firmasının güncelleme aracını kullanın ya da destekten listelenen eklentileri sorunda gösterilen düzeltilmiş sürüme en az güncellemesini isteyin.

Sürümleri wp plugin list --fields=name,status,version,update_version ile listeleyin, ardından wp plugin update <slug> ya da wp theme update <slug> çalıştırın. Düzeltmesi olmayan bir eklentiyi kaldırmak için: wp plugin deactivate <slug> && wp plugin delete <slug>.
Glimana'da kontrol edin. Güvenlik sayfasında Yeniden tara düğmesine basın (saatte en çok iki tarama) ya da pazar günkü haftalık taramayı bekleyin; kontrol geçince sorun kapanır.

Düzeltme nasıl doğrulanır

Düzeltmeden sonra Güvenlik sayfasında Yeniden tara düğmesine basın (ya da pazar 04:00'teki haftalık taramayı bekleyin); kontrol geçtiğinde sorun kapanır.