איך מוצאים תוספי וורדפרס לא מעודכנים עם פגיעויות מוכרות

1. הפיקו רשימת תוספים וגרסאות

בממשק הניהול, לוח הבקרה ← עדכונים מציג כל מה שיש לו עדכון. אם יש לכם גישת shell, ‏WP-CLI מהיר יותר:

wp plugin list --fields=name,status,version,update_version
wp plugin list --update=available
wp theme list --update=available
wp core check-update

2. חפשו פגיעויות מוכרות

חפשו את ה־slug של כל תוסף במאגר ציבורי. כל רשומה מציגה את הגרסאות המושפעות ואת הגרסה שמתקנת את הבעיה:

• Wordfence Intelligence
• מאגר פגיעויות הוורדפרס של WPScan
• מאגר Patchstack

3. עדכנו, או הסירו

• קודם גיבוי, ואז עדכון. אחר כך בדקו את דף התשלום, את הטפסים ואת ההתחברות.
• אם אין גרסה מתוקנת, השביתו ומחקו את התוסף ומצאו חלופה.
• תוספים מושבתים עדיין נמצאים כקבצים בשרת. מחקו את מה שאתם לא משתמשים בו.

wp plugin update --all --dry-run
wp plugin update contact-form-7
wp plugin delete hello-dolly

4. מצאו תוספים סגורים או נטושים

פתחו את הדף של כל תוסף ב־WordPress.org. תוסף סגור מציג הודעה ולא מקבל יותר תיקונים. תוסף שלא עודכן שנים, או שלא נבדק מול גרסאות וורדפרס עדכניות, הוא סיכון גם בלי פגיעות שפורסמה.

5. בדקו שקבצים לא שונו

wp core verify-checksums
wp plugin verify-checksums --all

קבצי ליבה או תוספים ששונו יכולים להעיד שהאתר כבר נפרץ. ראו איך יודעים אם אתר הוורדפרס שלכם נפרץ.

6. הפעילו עדכונים אוטומטיים

מאז וורדפרס 5.5 אפשר להפעיל עדכונים אוטומטיים לכל תוסף בנפרד ממסך התוספים. הפעילו אותם לתוספים שמתוחזקים היטב, ושמרו גיבויים יומיים כדי שתוכלו לחזור אחורה.

מה סריקה מרחוק יכולה לראות

הסריקה החינמית של HackGrade מוצאת תוספים, תבניות וגרסת ליבה שהדפים הציבוריים שלכם חושפים (למשל דרך נתיבי קבצים ומחרוזות גרסה) ומשווה אותם לנתוני פגיעויות ציבוריים. תוספים שלא משאירים עקבות בדפים הציבוריים אי אפשר לראות מבחוץ, ולכן רשימת ה־WP-CLI שלמעלה היא הרשימה המלאה.