Dezenove anos após sua criação, o WordPress continua sendo um dos sistemas de gerenciamento de conteúdo (CMS) mais populares e amplamente utilizados na rede mundial de computadores. Para colocar em números, mais de 60 por cento dos sites da Internet são construídos em cima do WordPress!
Essa popularidade vem com muitas vantagens, como uma grande comunidade de desenvolvedores, ferramentas extensas e uma preponderância de tutoriais e guias. Mas também vem com algumas desvantagens. Um deles é uma maior suscetibilidade a hackers.
Os hackers adoram invadir o WordPress. Na verdade, 83% de todos os sites hackeados baseados em CMS são construídos no WordPress. Eles adoram encontrar vulnerabilidades para explorar e, infelizmente, o WordPress tem um punhado delas.
Neste artigo, abordarei 8 vulnerabilidades comuns do WordPress e explicarei como cada uma delas pode ser mitigada. Sinta-se à vontade para usar os links a seguir para acessar cada seção de vulnerabilidade.
1. Ambiente de hospedagem ruim
Um host é um computador servidor na Internet onde os arquivos que alimentam seu site são armazenados. Se você deseja que seu site WordPress seja acessível na Internet, você deve colocá-lo em um host da Web.
Uma das principais razões pelas quais os sites do WordPress são invadidos é um ambiente de hospedagem ruim. Segundo estatísticas da Kinsta, o número é de cerca de 41%. Portanto, quase metade de todos os casos de invasão de sites do WordPress ocorrem devido a um ambiente de hospedagem ruim.
Você pode concluir a partir da estatística acima que usar um provedor de hospedagem respeitável e seguro reduz automaticamente as chances de seu site ser invadido por uma porcentagem significativa.
Alguns dos provedores de hospedagem de primeira linha para sites WordPress são Siteground, WP Engine, Hostinger e Bluehost. Antes de escolher um provedor de hospedagem para o seu site, certifique-se de realizar uma pesquisa completa para descobrir a qualidade da prestação de serviços e o nível de satisfação do cliente.
2. Temas aleatórios e plugins
Um tema WordPress dita a aparência do seu site enquanto um plugin é usado para adicionar funcionalidade extra ao seu site. Ambos são uma coleção de arquivos que inclui scripts PHP.
Como os temas e os plugins são compostos de código, eles podem estar infestados de bugs. Este é um método muito popular que os hackers usam para obter acesso ilegal aos sites afetados do WordPress.
Na verdade, de acordo com Kinsta, 52% das vulnerabilidades estão relacionadas a plugins e 11% são causadas por temas.
Os hackers podem inserir código malicioso em um tema ou plug-in e publicá-lo no mercado na Internet. Se for instalado em um site WordPress por um usuário desavisado, o site fica automaticamente comprometido, muitas vezes sem o conhecimento do proprietário.
A melhor maneira de evitar esses problemas é instalar apenas temas e plugins de fontes confiáveis e confiáveis.
3. Plugins e temas desatualizados
Além de evitar plugins e temas aleatórios, você também deve manter atualizados aqueles que instalou em seu site WordPress.
Isso ocorre porque os hackers geralmente procuram temas ou plug-ins específicos (ou versões específicas) que são conhecidos por terem vulnerabilidades. Eles então procuram sites que usam esses temas ou plugins e tentam invadi-los. Se forem bem-sucedidos, eles podem realizar ações prejudiciais nos sites, como procurar dados em seus bancos de dados ou até mesmo injetar conteúdo malicioso nos sites.
Para acessar seus temas instalados de dentro do painel de administração, navegue até Aparência > Temas na barra lateral. Para acessar os plugins, navegue até Plugins > Plugins Instalados.
Normalmente, você receberá uma notificação de alerta em seu painel do WordPress quando for a hora de atualizar qualquer um dos temas ou plug-ins usados em seu site. Nunca ignore esses alertas, a menos que tenha um bom motivo para isso.
4. Senhas Fracas
Credenciais de login fracas e fáceis de adivinhar são uma das rotas mais fáceis para os hackers obterem acesso ao seu back-end do WordPress. Cerca de 8% dos sites criados no WordPress são invadidos como resultado de uma combinação de senha fraca ou senhas roubadas
Os hackers costumam usar scripts de força bruta para testar iterativamente combinações comuns de nome de usuário e senha em tantos sites WordPress quanto possível. Eles fazem isso até encontrar uma correspondência, na qual fazem login no site de destino e também revendem as credenciais para outros hackers.
Por esse motivo, você deve sempre evitar o uso de termos como do utilizador, administrador, administradore usuário1 como seu nome de usuário de login. Em vez disso, crie um nome de usuário menos genérico e mais pessoal.
Para criar senhas fortes e seguras, aqui estão algumas regras a serem lembradas:
- Nunca use informações pessoais (nome, aniversário, e-mail e assim por diante).
- Crie senhas mais longas.
- Torne suas senhas o mais obscuras e sem sentido possível.
- Não use palavras comuns.
- Certifique-se de que inclui um número e um caractere especial
- Nunca repita senhas.
Para proteger seu site, você deve especificar uma combinação forte de nome de usuário e senha desde o momento em que configura o WordPress pela primeira vez.
Além disso, você deve configurar a autenticação de dois fatores (2FA) para adicionar outra camada de segurança ao seu site WordPress.
Por fim, considere usar um plug-in de segurança como Wordfence ou Sucuri Security para impedir que ataques de força bruta (e outros ataques maliciosos) acessem seu site WordPress.
5. Injeções de malware
Malware é um software malicioso que um hacker pode inserir em seu site e executá-lo sempre que quiser executar seu plano.
O malware pode ser inserido de várias maneiras. Ele pode ser injetado por algo tão simples quanto um comentário bem formatado no site WordPress ou por algo tão complexo quanto o upload de um arquivo executável no servidor.
Na melhor das hipóteses, o malware não causará nenhum problema e pode fazer algo tão inofensivo quanto mostrar o anúncio de um produto ao seu cliente. Nesse caso, o malware pode ser removido usando um plug-in de scanner de malware como o Wordfence Security.
Mas, em muitos casos extremos, o malware executará ações perigosas no servidor que podem levar à perda de dados no banco de dados ou algo semelhante, como criar uma conta no site WordPress.
Resolver esses cenários de pior caso geralmente envolve restaurar seu site a partir de um backup limpo antes de descobrir como o hacker conseguiu entrar em seu sistema e consertar o buraco. É por isso que apoiar seu site regularmente é muito importante.
6. Phishing
Em um ataque de phishing, o invasor envia um e-mail usando um endereço que parece vir do seu servidor. O invasor normalmente pedirá ao usuário ou cliente do site que clique em um link para fazer algo, o que o usuário pode fazer, sem saber que não é realmente do seu servidor.
Os ataques de phishing vêm em muitos estilos diferentes, com nomes como cat-phishing, spear-phishing e assim por diante. Independentemente do tipo, o phishing sempre envolve um endereço de e-mail falso (mas com aparência original) e um link para uma página maliciosa.
Muitas vezes, o invasor exibe um formulário falso que parece idêntico ao formulário de login real do seu site. Se o usuário não recuperar o atraso a tempo, ele poderá enviar uma ou várias credenciais de login diferentes para o site malicioso.
O resultado final é que o hacker agora tem nomes de usuário e senhas diferentes para realizar ataques de força bruta em outros sites, bem como credenciais de login precisas para acessar o back-end do usuário.
Devido à forma como o e-mail foi projetado originalmente, é fácil falsificar o endereço “de” de um e-mail, tornando os ataques de phishing um pouco mais difíceis de impedir.
No entanto, hoje em dia, tecnologias como SPF, DKIM e DMARC permitem que os servidores de e-mail verifiquem a origem de um e-mail e validem o domínio de origem. Desde que estejam configurados corretamente, todos os e-mails de phishing serão detectados pelo servidor destinatário e marcados como spam ou completamente removidos da caixa de entrada do usuário.
Se você não tiver certeza se tem SPF, DKIM e DMARC configurados corretamente, pergunte ao seu host. A maioria dos hosts da web de primeira linha tem instruções fáceis de seguir sobre como configurá-los.
7. Ataques de negação de serviço (Dos e DDos)
Um ataque de negação de serviço ocorre quando um perpetrador inunda o servidor de um site com solicitações incorretas, fazendo com que o servidor não consiga processar solicitações normais de usuários legítimos.
No WordPress, os serviços de cache ajudam a mitigar ataques DDoS. Você pode usar plugins WordPress como WP Fastest Cache em seu site para verificar ataques DDoS. Além disso, a maioria das hospedagens de primeira linha possui sistemas de mitigação de DDoS integrados à sua infraestrutura.
8. Script entre sites (XSS)
Cross-site scripting é outro tipo de ataque de injeção de código e é semelhante à injeção de malware que aprendemos anteriormente.
No entanto, em um ataque XSS, o invasor injetaria scripts maliciosos do lado do cliente (JavaScript) nas páginas da Web no front-end do site para o navegador executar.
O invasor pode usar essa oportunidade para se passar pelo visitante do seu site (usando seus dados) ou enviá-lo para outro site malicioso que ele criou para enganar o usuário.
Uma das maneiras mais eficazes de impedir ataques XSS em seu site WordPress é instalar um plug-in de firewall poderoso como o Sucuri, que você também pode usar para escanear seu site em busca de vulnerabilidades XSS.
Conclusão
Manter seu site WordPress seguro e protegido requer que você tome medidas proativas para descobrir vulnerabilidades que os invasores podem explorar. Neste artigo, abordamos oito vulnerabilidades e oferecemos uma solução para cada uma delas.
Lembre-se de que a melhor maneira de mitigar vulnerabilidades em seu site WordPress é manter todos os componentes do site atualizados. Isso inclui plugins, temas e até o próprio WordPress. Não se esqueça de atualizar sua versão do PHP também.
