אבטחת WPML בעזרת השותפים המהימנים שלנו ב־Wordfence

בשבוע שעבר, שחררנו את WPML 4.6.13 ואת WPML Multilingual & Multicurrency for WooCommerce 5.3.7 כדי לתקן בעיית אבטחה שדווחה על ידי Wordfence. אנו רוצים לשתף פרטים נוספים על תיקון זה ועל המשמעות שלו לגבי אבטחת האתרים שלך.

ציר הזמן של האירועים

ב־WPML, אבטחה היא בראש סדר העדיפויות שלנו, ואנו מחויבים להבטיח שהאתרים שלך יישארו בטוחים ומוגנים. עבור תיקון זה, עבדנו בשיתוף פעולה הדוק עם Wordfence, אחד השמות המכובדים ביותר בקהילת האבטחה של WordPress.

ב־Wordfence יצרו איתנו קשר לגבי הבעיה ב־WPML בחודש יולי, אך לרוע המזל, ההודעה הגיעה לתיקיית דואר הזבל ונעלמה מעינינו לזמן מה. לשמחתנו, הם שלחו לנו הודעת דוא"ל נוספת באוגוסט ומשם המשכנו בטיפול, תיקנו את הפגיעות באופן מיידי וסיפקנו ל־Wordfence גרסה מתוקנת לאימות.

בהיותם שותפים ומומחים נהדרים, ב־Wordfence דיווחו על פגיעות XSS מינורית נוספת בתהליך, שאותה תיקנו באופן מיידי גם כן.

בינתיים, קיבלנו גם דיווח מ־Patchstack על פגיעות דומה ב־WPML Multilingual & Multicurrency for WooCommerce.

לאחר קבלת אישור מהם שהתיקון עבר את כל האימותים, שחררנו את WPML 4.6.13 ואת WooCommerce 5.3.7 ב־20 באוגוסט.

תפקיד המפתח של Wordfence

אנו רוצים לנצל הזדמנות זו כדי להודות ל־Wordfence על עזרתם הרבה בזיהוי ותיקון פגיעויות אלו. לא ניתן להפריז בחשיבות עבודתם עבורנו ועבור כל המערכת האקולוגית של WordPress.

ההתמדה שלהם במעקב אחר הדיווח הראשוני ושיתוף הפעולה שלהם לאורך כל תהליך התיקון הם עדות למחויבותם לקהילת WordPress.

כיצד פועלת פרצת אבטחה זו ומה המשמעות שלה עבורך

כמה מאמרים ברשת תיארו בעיה זו כ"פרצת אבטחה קריטית" המשפיעה על למעלה ממיליון אתרים. בעוד שאנו מסכימים לחלוטין שאבטחה היא עניין רציני, חשוב להבהיר בדיוק כיצד פרצה זו פועלת במצבי אמת.

פגיעות זו דורשת שלגורם זדוני יהיו הרשאות עריכה באתר WordPress. משמעות הדבר היא שעליו להיות בעל תפקיד משתמש 'תורם' (Contributor) או ברמה גבוהה יותר באתר היעד.

עם זאת, החומרה מסתכמת בסוגי המשתמשים שיש לך באתר. אם אתה והצוות שלך הנכם מנהלי האתר/הכותבים/העורכים היחידים באתר, אין אף אחד מחוץ לך או לצוות שלך שיוכל לנצל פגיעות זו.

מצד שני, אם אתה מנהל אתר עם משתמשים בעלי גישה ברמת 'תורם' ואינך מכיר אנשים אלה באופן אישי, ייתכן שאתה נמצא בסיכון גבוה יותר.

לבסוף, אנו רוצים להדגיש שבשום שלב רוב משתמשי WPML לא היו בסיכון. התיקון פותח, נבדק ושוחרר בשיתוף פעולה הדוק עם Wordfence, והבעיה נפתרה במלואה.

כמו תמיד, אנו ממליצים בחום לשמור על WPML ועל WPML Multilingual & Multicurrency for WooCommerce מעודכנים באתרים שלך.

במקרה של חששות כלשהם

למשתמשים ולשותפים שלנו שאולי היו מודאגים מהדיווחים האחרונים, אנו רוצים להבטיח שאין כל סיבה לדאגה. הבעיה נפתרה במהירות וביעילות, ואין כל עדות לכך שהיא נוצלה בפועל.

אם יש לך שאלות או חששות, אל תהסס ליצור איתנו קשר.

אנו נשארים מחויבים לאבטחת האתרים שלך ולשיתוף הפעולה המתמשך שלנו עם Wordfence ומומחי אבטחה אחרים.

תודה על האמון המתמשך שלך ב־WPML,
צוות WPML