Ik heb de afgelopen periode een aantal keer aandacht besteed aan het beveiligen van je WordPress website en helaas is het nodig dat dit een terugkerend onderwerp wordt. Al eerder constateerden we dat in de kracht van WordPresss (de grote hoeveelheid themes en plugins) ook een gevaar schuilt.
Ook recent zijn er wederom meldingen van misbruik door kwaadwillenden van WordPress sites. Maakt dit WordPress tot een slecht systeem? Nee, dat niet, hoewel de echte techneuten wel van mening zijn dat WordPress op dit punt steken laat vallen. Het grootste probleem wordt echter door de gebruikers zelf, die onvoorzichtig zijn. In een eerder artikel schreef ik al over de maatregelen die je kunt nemen om te voorkomen dat je WordPress site gekraakt wordt.
Toolspack plugin
Nu wil ik je in dit korte artikel wijzen op twee concrete problemen. Allereerst de zogenaamde ‘Toolspack’ plugin, niet te verwarren met het ‘Jetpack’ van WordPress zelf. Dit ‘Toolspack’ doet zich voor als een set aan beheerstools voor je WordPress site, maar doet helemaal niets. Of toch, het zet je website wagenwijd open voor het uitvoeren van kwaadaardige code. Eenmaal besmet ben je er niet zo maar vanaf en het verwijderen van de plugin is dan ook niet meer voldoende. Meer informatie vind je hier, maar ik adviseer je om terug te gaan naar een backup van je website als je deze plugin toch tegen mocht komen op je eigen site.
Absolute privacy plugin
Bij deze plugin is er geen sprake van malware, maar van een lek in de code. Deze fout zorgde ervoor dat na de update naar WordPress versie 3.3 je met elke gebruikersnaam en een willekeurig wachtwoord in kon loggen! Je website staat dan volledig open voor iedereen, tenminste als je deze plugin gebruikt. En dat terwijl de plugin nou net bedoeld was om je site ‘op slot’ te zetten zodat alleen gebruikers die je expliciet toegang verleent de website nog kunnen zien. Meer informatie over dit probleem en de oplossing hiervoor vind je hier in het WordPress forum. De meest recente versie (2.07) gebruiken lost het probleem overigens ook op.
WordPress beveiliging is iets waar je eigenlijk regelmatig mee bezig moet zijn, hoe vervelend ook. En dat zal niet veel anders zijn wanneer je een andere oplossing gebruikt. Daarbij moet wel opgemerkt worden dat WordPress tegenwoordig zó populair is, dat deze markt steeds interessanter wordt voor kwaadwillenden. Zorg er dus voor dat je je updates installeert en plugins eerst test op een testomgeving. Dat is sowieso een aanbevolen methode om je live site zo ‘schoon’ mogelijk te houden.
LEER ALLES OVER GUTENBERG
Nieuw e-book over WordPress 5 nu gratis downloaden. Bomvol de beste Gutenberg Tips & Trucs
Na je inschrijving ontvang je direct het gratis e-book. Daarna zenden we je 1x per maand de gratis WordPress nieuwsbrief. Je mailadres is veilig bij ons, géén spam!
Hey Robbert,
Ik ben net hersteld van een geslaagde hackpoging. Het bleek dat het lek uit de plugin MMforms kwam. Dit is een oude formulierplugin die ook niet meer ondersteund wordt.
Iedereen die deze plugin nog gebruikt moet dus goed in zijn rootfolder gaan kijken of er geen rare bestanden zijn bijgekomen zoals attackisrael.php of iets dergelijks. De-installeer direct MMforms en verwijder deze bestanden. Pas wel op wat je doet. Verwijder het verkeerde bestand en je website is compleet onbereikbaar. Bezint dus eer ge begint.
Ik adviseer als alternatief voor MMforms de plugin Contact Form 7.