33%顶尖的WordPress网站使用了至少两个版本的WordPress

 

在调查了数字营销公司Quantcast所列举的全球前10000大网站之后,我们发现大量的网站都需要进行关键的更新。

在WordPress近来发布了4.9.5版本之后,我们决定进行一点研究,看WordPress网站的更新速度有多快——以及背后所拥有的多个更新的数量。经过调查,我们发现情况是令人不安的。在Quantcast所列举的全球前10000大WordPress网站中,49%的网站并没有运行最新的、更为安全的WordPress版本。而且有多个更新的网站比例高达33%。

“WordPress是全球第一大网站搭建平台,”拥有超过15年相关经验的web工程师和安全专家Adam Cohen表示,“因成千上万的网站都运行在WordPress上,它也是黑客攻击的最多的平台。因为如果他们发现了任何漏洞,就可以把它们复制到成千上万的网站上。”

这就使得那些没有更新到最新版本的网站面临着巨大问题。在拥有已知漏洞的情况下,这些网站快速而松散地运行着。这就是你遭受攻击的方式。

重要发现

为了执行调查,我们创建了一个工具来抓取在Quantcast所列举的全球前10000大网站中的各个网站的主页。该抓取是在WordPress 4.9.5发布之后的两天后执行的。在正式发布后的48个小时内,所有配置为自动进行更新的网站都应当已经完成了更新。

在Quantcast的全球前10000大网站中,17%的网站主页运行在了WordPress上。而可能为其博客或在网站的其他部分使用了WordPress的网站数量明显更高,但由于进行这样的扫描是非常复杂的,而且十分耗时,我们选择只分析在主页上的数据。

以下是我们的主要发现:

在Quantcast的全球前10000大网站中,17%的网站主要运行在WordPress上;

在这些WordPress网站中,50.93%运行的是最新的、更为安全的版本;

49.07%的WordPress网站并没有运行最新的版本;

33.58%的WordPress网站背后至少有两个更新。

未对WordPress进行更新是一种很好的使自身遭受攻击的方式

让我们来谈谈为什么更新如此重要。而在我们进行深入讨论之前,我们需要知道这是一个全球性的问题。企业需要不断地权衡打补丁、更新和巩固系统方面的需要,因为在此过程中会付出价格和业务宕机/中断两方面的代价。这种情况不仅仅局限于WordPress网站。

“许多人都会放弃更新WordPress,因为他们担心会影响网站的稳定性,”Comparitech.com安全专家和隐私倡导者Paul Bischof说到,“例如,WordPress插件可能会停止工作。如果你对主题进行了一些更改,但并没有将这些更改应用于子主题,那么这些更改就可能在下一次更新中被擦除掉。如果你在运行某种类型的在线业务,相比恶意软件或攻击,潜在的宕机事件可能付出的代价更大。”

高级web工程师和WordPress专家Ken Dawes很快对网站所有者进行了警告,提出WordPress需要进行不断的关注。

“WordPress安全中的最大的问题是,让人们意识到拥有一个WP网站就像拥有一只小狗,”Dawes表示,“如果你没有照顾好它——给它喂食、梳理毛发、接种疫苗等等——你就会遇到麻烦。

照顾好它意味着定期更新到最新版本,同时也要保持插件为最新版本。

WordPress进行这些更新是有原因的

如同其他软件,WordPress会定期发布更新。尽管这些更新也会提供新的功能,但安全方面的改进才是最重要的。而且网络犯罪分子们会关注修复的具体内容。

“人们并没有意识到这样一个事实,即黑客通常并不是自己发现的软件漏洞的,”Bischoff表示,“当诸如WordPress等的软件发行商推出了包括安全更新的补丁时,这就会提醒黑客,在那些没有执行所谓的更新的WordPress安装版本上将会存在安全漏洞。如果你没有进行更新,你就会成为攻击目标。你等待的时间越长,你就更有可能受到攻击。”

在Quantcast的全球前10000大网站中,近一半的网站都没有更新到最新版本,这是令人吃惊的。超过三分之一(33.58%)的网站都使用了多个WordPress版本,这是十分危险的。

“一旦你的网站受到了攻击,你是很难对它进行修复的。本质上,进入你的网站的黑客将会创建新的隐藏入口点;除非你将它们完全地关闭掉,他们是很容易找到回去的路的。对企业来说结果是十分可怕的。”BlueBerryCloud加拿大WordPress设计室主管Mazdak Mohammadi表示。

“好消息是,通过WordPress管理面板,WordPress是很容易进行更新的,同时还包括它的插件。你的web开发人员应该可以为你执行这一任务,否则你可以申请进行访问,自行处理。这不是火箭科学,如果更新失败,WordPress会及时自动将你的网站恢复到更新之前的时间点。”

WordPress黑客攻击可能发生在任何人身上

中小企业也不能幸免于黑客攻击。这是一种常见的看法,但并没有得到统计数据的支持。事实上,由赛门铁克所发布的《2017年威胁报告》指出,去年有74%的中小企业遭受了攻击。此外,《国家网络安全联盟报告》称,在数据泄露事件发生后的6个月时间里,有60%的中小企业关门歇业。

有趣的是,你会发现网站所有者会说,“我已经很多年没有进行更新了,而且我并没有遭受攻击!因此,有什么大不了的?”Dawes说,“或者我只是个不知名的小人物,他们不会攻击我的网站。”但事实上,这是一场数字游戏。每天,黑客机器人都会对所有网站进行随机攻击。这些机器人会浏览IP地址列表,然后使用已知的、可进行利用的漏洞来实施攻击。一个公司所需要的就是,让他们的网站在错误的时间易受到正确的机器人的攻击。

“当黑客在WordPress版本中发现了漏洞的时候,他们就会创建一个针对该漏洞的攻击,然后撒出一张大网(通常是自动的),想看看谁还没有进行更新,”Vestige Digital Investigations EnCE和DFCP Greg Kelley说到,“要意识到一张“大网”的重要性,他们不会关心你是谁或你是做什么的,只要你有一个网站。一旦网站被攻破,黑客就会从网站中看到其可以获取的信息,比如账户信息,然后可能试图利用这些信息来攻击你可能拥有的其他系统。至少,黑客会破坏你的网站,或者用它来存储对他们来说十分重要的数据(窃取的数据,非法图片等等)。结果是,当公众发现你的网站遭受到了攻击时,你的公众形象就会受到不良影响。”

或者,你也可以像那些60%的中小型企业一样,遭受攻击然后最后倒闭。

为了保持WordPress网站的安全,你需要做什么?

显然,你可以从本文获得的最大的建议是,你需要随时更新你的WordPress,无论是对于CMS本身,还是你利用它来运行的插件。

IT Tropolis联合创始人兼总裁鲍Bob Herman说:“当系统发现了插件和主题漏洞时,且补丁已发布,你的面板就会显示一条信息:更新是可用的。而且,要始终使用子主题,这样你就可以在不影响网站的情况下对安装中的所有主题进行更新。Wordfence是一个很好的插件,它可以通知你在安装过程中存在的重要问题。而且,如果你因插件可能与最新的版本不兼容而不想更新WordPress,那么它可能就不是一个值得使用的插件。大多数得到广泛采用的插件都是与WordPress同步更新的,这样漏洞就可以尽可能快地得到修补。”

Cohen还有一些其他的建议:

“确保定期更新你的密码,并确保你的主机公司每年都会对Linux/Unix、Php和MySQL库(并根据需要安装补丁)进行更新。在旧的插件或主题没有进行使用或已过时时,删除它们。安装诸如Sucuri或Wordfence等的服务来监视文件和访问站点。”

但最重要的是,如果你只从本文中得到了一点,不要陷入这样的陷阱:你不需要随时进行更新。

Dawes说:“不让一切都保持最新,这是一个错误的经济学。如果一家公司不想进行更新,因为他们担心自己的网站会崩溃,那么他们需要认识到,其网站遭受攻击的可能性会增加,并愿意接受网站遭受攻击后的各种风险。”而且,如果该公司的网站包含了关于网站访客的个人信息——姓名、电子邮件地址、信用卡信息等——他们最好也愿意承担相应的法律责任!”

提交
还没有评论,快来抢沙发吧!
售前
支持
代理
合作
售后
支持