Instrukcja postępowania po wykryciu podatności systemu WordPress

W ostatnich dniach, w oprogramowaniu do zarządzania stronami internetowymi WordPress, wykryto lukę bezpieczeństwa o nazwie „wp2shell”. Potencjalnie umożliwia ona atakującym uruchomienie złośliwego kodu na serwerze, a w konsekwencji uzyskanie dostępu do plików lub danych przechowywanych w ramach instancji WordPress, w wersji starszej niż aktualnie wydana.

Poniżej publikujemy instrukcję do działań, których rekomendację otrzymaliście Państwo od nas w korespondencji mailowej.

SPIS TREŚCI

• Zmiana hasła do Panelu Klienta home.pl
• Zmiana hasła do konta mailowego w poczcie home.pl
• Działania w aplikacjach zewnętrznych powiązanych z WordPressem
• Czy coś robić w panelu WordPressa
• Dezaktywacja klucza API wykorzystywanego przez wtyczkę WooCommerce
• Sprawdź, jak stworzyć dobre hasło

Zmiana hasła do Panelu Klienta home.pl

1. Zaloguj się do Panelu Klienta home.pl i kliknij w zakładkę „Użytkownicy” w menu po lewej stronie.
2. Wybierz, którego użytkownika zmiana hasła powinna dotyczyć (rekomendujemy: wszystkich), kliknij „Działania” i „Zmień hasło”.

Kliknij, żeby powiększyć

Zmiana hasła do konta mailowego w poczcie home.pl

1. Zaloguj się do Panelu Klienta home.pl i kliknij w zakładkę “Poczta” w menu po lewej stronie.
2. Wyświetli Ci się lista skrzynek mailowych utworzonych w ramach Twojego konta.
3. Jeżeli używasz silnych, różnorodnych haseł – rekomendujemy zmianę przede wszystkim haseł do usług pocztowych powiązanych z hostingiem dla WordPressa.
4. Jeżeli nie masz pewności czy hasła innych usług pocztowych są silne i różnorodne – rekomendujemy zmianę haseł dla wszystkich skrzynek.
5. Skrzynki powiązane z usługą Hosting dla WordPressa rozpoznasz po nazwie napisanej szarą czcionką. Przy wybranej skrzynce kliknij “Opcje” i “Edytuj konto pocztowe”.
   Otworzy się podstrona umożliwiająca zmianę hasła.

Kliknij, żeby powiększyć

Działania w aplikacjach zewnętrznych powiązanych z WordPressem

Mając na uwadze wszystkie informacje – zalecamy dezaktywację kluczy API i zmianę haseł w aplikacjach powiązanych, których dane autoryzujące są wprowadzone w WordPressie.

UWAGA
Rekomendujemy wykonanie zmian haseł i kluczy API wyłącznie w po stronie aplikacji – wtyczek, które mamy połączone ze swoim kontem, nie w panelu WordPressa.

Z jakich wtyczek korzysta Twój WordPress sprawdzisz logując się do niego, w menu bocznym, w zakładce “Wtyczki”.

Dezaktywacja kluczy API i zmiana haseł będzie miała różny przebieg w zależności od aplikacji, podkreślamy jednak: wykonujemy to działanie po ich stronie, nie w panelu WordPressa.

Czy coś robić w panelu WordPressa

WAŻNE: Pod żadnym pozorem nie wprowadzaj zmienionych haseł ani danych dostępu do swojego WordPressa. W przeciwnym razie atakujący mogliby uzyskać dostęp do Twoich danych.

• Działaniem jakie aktualnie (do czasu wysłania kolejnych informacji) rekomendujemy po stronie WordPressa jest dezaktywacja klucza API wykorzystywanego przez wtyczkę WooCommerce (instrukcja poniżej).
• Rekomendujemy również sprawdzenie, czy w przeglądzie użytkowników Twojej instancji WordPress nie pojawiły się nowe lub nieznane konta. Jeśli tak, konieczne jest ich usunięcie. Zweryfikujesz to wybierając w menu bocznym zakładkę “Użytkownicy”.

Dezaktywacja klucza API wykorzystywanego przez wtyczkę WooCommerce

W menu bocznym wybierz „WooCommerce”, a następnie kliknij w „Ustawienia”, w górnym menu wybierz zakładkę „Zaawansowane”, a następnie zakładkę „Klucze REST API”
Należy kliknąć „Unieważnij”.

Kliknij, żeby powiększyć

Sprawdź, jak stworzyć dobre hasło

Skorzystaj ze wskazówek wypisanych poniżej, dzięki którym zwiększysz „siłę” swojego hasła:

• hasło powinno składać się z minimum 12 znaków,
• hasło powinno zawierać zarówno małe jak i duże litery,
• hasło powinno zawierać cyfry,
• wykorzystaj również znaki specjalne (np. &, @, !).

Dobrą praktyką jest:

• kombinacja kilku słów, można je oddzielać znakami specjalnymi,
• kombinacja dużych i małych liter,
• zastępowanie popularnych liter, znakami specjalnymi, np. a-@, i-1, o=0, s=% itp.,
• stosowanie znaków specjalnych naprzemiennie z literami i cyframi,
• słowa zapisane z celowym błędem, ale nadal łatwe do zapamiętania lub łatwe do skojarzenia,
• używanie kombinacji które nie mają sensu, ale ze względu na charakterystyczny wydźwięk kojarzone są i wpadają w pamięć, mogą zostać uzupełnione dodatkowymi znakami np. dżaba(kum)kum, hulalula=>10%.

Czego nie stosować przy tworzeniu haseł?

• zawierających frazę użytą do tworzenia loginu,
• zawierających informacje o użytkowniku, np. imion, nazwisk, ważnych dat,
• wskazujących na otoczenie użytkownika, ulubionych przedmiotów, imion zwierząt, miejsc,
• składających się z samych liter lub cyfr, np. abcdefgh, 123654 itp.,
• złożonych z imion, nazwisk lub nazw znanych postaci lub popularnych słów, np. kasia1, batman2 itp.,
• stworzonych z sekwencji odczytywanych z klawiatury np. 123456, qwerty itp.,
• krótszych niż 6 znaków.

Słabe i silne hasła: przykłady

Bazując na powyższych wskazówkach pokazujemy kilka przykładów słabych i silnych haseł. Potraktuj je jako inspirację do stworzenia własnych. Nie wykorzystuj wprost naszych przykładów: w końcu to „hasła”, które zostały już ujawnione.

Przykłady silnych haseł

Powyższe hasła mają odpowiednią długość (kilkanaście znaków), wykorzystują małe i wielkie litery, znaki specjalne oraz cyfry. Są łatwe do zapamiętania (konkretny zbitek słów, użycie konkretnego kodu), a zarazem trudne do odgadnięcia (słowa składające się na hasło są przypadkowe).

Pamiętaj: bezpieczne i silne hasło nie musi składać się z ciągu przypadkowych znaków, którego nie sposób zapamiętać. Zamiast tego połącz w swoim haśle kilka słów (mniej typowych), używaj znaków różnej wielkości, zastąp kilka liter znakiem specjalnym. W ten sposób stworzysz silne hasło, które będzie Ci łatwiej zapamiętać.

Przykłady słabych haseł

Nawet jeśli niektóre z powyższych przykładowych haseł mogą wydawać się nienajgorsze, to na żadnym z nich nie warto się wzorować. Większość z nich jest za krótka i zbyt łatwa do odgadnięcia, nawet jeśli użyto w nich liter różnej wielkości, cyfr i znaków specjalnych. Nadawanie hasła do usługi zawierającego nazwę tej usługi (np. WordPress) to bardzo zły pomysł, podobnie jak wykorzystywanie w haśle swoich danych, których zdobycie nie jest niczym trudnym.