Wtyczki menedżera plików w WordPressie – dlaczego są furtką dla włamywaczy

W skrócie: wtyczki menedżera plików dają w panelu WordPressa pełny dostęp do wszystkich plików strony: wgrywanie, zmiany, usuwanie, także kodu PHP. Jeśli taka wtyczka ma lukę albo dostęp administratora trafi w niepowołane ręce, atakujący mogą przez nią wszystko. Przy kilku zhakowanych stronach, które czyściłem, wtyczka menedżera plików była drogą do środka. Moja rada: usunąć, a nie tylko wyłączyć, i zarządzać plikami przez SFTP.

Pomysł jest zrozumiały: kto nie ma dostępu FTP albo nie chce instalować programu FTP, może przez wtyczkę edytować pliki w przeglądarce. Takie wtyczki mają nieraz setki tysięcy instalacji. Właśnie dlatego są atrakcyjne dla atakujących: jedna luka otwiera naraz bardzo wiele stron.

Najbardziej znany przykład

We wrześniu 2020 roku we wtyczce „WP File Manager” wykryto lukę, przez którą w wersjach od 6.0 do 6.8 można było bez żadnego logowania wgrywać i uruchamiać pliki. W ciągu kilku dni była masowo wykorzystywana, ataki szły automatycznie na wszystkie strony z tą wtyczką. Producent szybko wydał aktualizację, ale strony, których nie zaktualizowano od razu, często były już wtedy zainfekowane.

Także inne wtyczki menedżera plików miały w ostatnich latach luki bezpieczeństwa. Podstawowy problem zostaje: wtyczka, której celem jest nieograniczony dostęp do plików, przy każdym błędzie jest dla atakujących strzałem w dziesiątkę.

Jak wygląda atak przez menedżer plików

1. Automatyczny skrypt znajduje Państwa stronę z podatną wtyczką.
2. Przez lukę wgrywa mały plik PHP, tak zwany webshell.
3. Przez niego rozsyłane są kolejne tylne drzwi, często w wp-content/uploads, w mu-plugins albo w plikach systemowych.
4. Kilka tygodni później zaczyna się właściwy „biznes”: przekierowania na spam, spamowe podstrony w Google albo wysyłka spamu.

Dlatego samo usunięcie wtyczki po ataku nie wystarczy. Tylne drzwi zostają.

Jak sprawdzić, czy strona jest zagrożona

• Czy jest albo była zainstalowana wtyczka menedżera plików? Proszę sprawdzić wp-content/plugins, także wyłączone albo przemianowane foldery.
• Czy w wp-content/uploads są pliki PHP? Tam powinny być tylko zdjęcia i dokumenty.
• Czy w wp-content/mu-plugins są nieznane pliki?
• Czy w „Użytkownicy” są nieznani administratorzy?
• Czy Google Search Console pokazuje problemy z bezpieczeństwem?

Więcej objawów opisuję w artykule Zhakowany WordPress? Jak to rozpoznać.

Co robić zamiast tego

• Usunąć wtyczkę menedżera plików. Wyłączone wtyczki dalej leżą na serwerze, a niektóre luki działają także wtedy.
• Używać SFTP. Większość hostingodawców daje szyfrowany dostęp do plików z osobnym hasłem. Programy takie jak FileZilla czy WinSCP są darmowe.
• Używać menedżera plików hostingodawcy. Wiele paneli ma wbudowany menedżer plików, który nie działa przez WordPressa.
• Wyłączyć edytor plików w WordPressie. Wpis define( 'DISALLOW_FILE_EDIT', true ); w wp-config.php blokuje edycję plików motywu i wtyczek w panelu.
• Mało administratorów, silne hasła, logowanie dwuskładnikowe. Skradziony dostęp administratora plus menedżer plików to takie samo zagrożenie jak luka.

Profesjonalna pomoc

Jeśli na Państwa stronie działała wtyczka menedżera plików i coś budzi podejrzenia, sprawdzę stronę pod kątem tylnych drzwi i wyczyszczę ją w całości. Więcej w usłudze zhakowany WordPress, od 490 € netto. Żeby przestarzałe wtyczki w ogóle nie stawały się zagrożeniem, jest aktualizacja WordPress.