Nhà phát triển không cập nhật plugin: Chủ web WordPress luôn được khuyên cập nhật Core, theme, plugin. Để lơ, addon phát sinh lỗ hổng – hacker khai thác xâm nhập. Nhưng nếu lỗ hổng được phát hiện lâu rồi mà nhà phát triển chưa phát hành bản vá? Chủ web làm sao? Bài viết thảo luận hành động giữ an toàn web cho đến khi có bản cập nhật.
Năm 2016, blog bảo mật báo lỗ hổng Cross-Site Scripting trong W3 Total Cache – plugin cache phổ biến (1 triệu+ cài đặt), dùng bởi pearsonified.com, mashable.com, AT&T. Không phải lần đầu W3 Total Cache có lỗ hổng – trước đó đã có vài lỗ hổng, một số bị khai thác.
Khi báo cáo, trên diễn đàn hỗ trợ có nhiều khiếu nại người dùng liên hệ nhà phát triển hàng tháng không thành công. Một user phàn nàn trên Facebook: plugin không cập nhật > 7 tháng. Lo ngại thiệt hại do lỗ hổng XSS trên web dùng W3 Total Cache là dễ hiểu.
Gần 1 tuần sau công bố lỗ hổng, W3 Total Cache phát hành bản cập nhật vá lỗi, thêm tính năng mới. Nhưng sau bản vá, nhiều chủ web báo cập nhật làm hỏng web. Cập nhật mới làm hỏng web không hiếm – nên khuyến nghị dùng môi trường staging (staging environment). Test cập nhật trên staging trước khi áp dụng web chính. Nếu staging hỏng, báo cáo nhà phát triển mà không hỏng web chính. Mặc dù nhà phát triển W3 Total Cache mất thời gian vá lỗi, nhưng không dẫn đến thảm họa hoàn toàn.
Làm Gì Khi Nhà Phát Triển Không Cập Nhật Plugin?
WordPress nền tảng web phổ biến nhất, một lý do lớn là plugin – cho thiết kế web và thêm chức năng dễ dàng. Nhiều plugin WordPress do nhà phát triển làm dự án phụ (side project). Khi có lỗ hổng, tốn nhiều thời gian công sức không chỉ xác định vấn đề mà còn phát triển bản vá. Đôi khi không thể lo plugin ngay vì có việc chính. Dự án phụ không ưu tiên. Dẫn đến chậm phát hành bản vá.
WordPress cộng đồng toàn cầu – tin tức lỗ hổng (core hoặc addon: theme/plugin) lan truyền nhanh. Tức hacker luôn tìm web dễ tấn công sẽ launch hàng loạt cuộc tấn công trong vài giờ. Do đó khi plugin có lỗ hổng mà nhà phát triển chưa cập nhật, cần hành động giữ web an toàn. Đây là מה לעשות:
- Vô hiệu hóa plugin cho đến khi nhà phát triển phát hành bản cập nhật sửa lỗi.
- Nếu không phải plugin premium, đến diễn đàn hỗ trợ wordpress.org gửi khiếu nại. Hy vọng đủ khiếu nại ép nhà phát triển phát hành bản vá nhanh.
- Thường cập nhật đến sau 48h kể từ phát hiện lỗ hổng. Nếu lâu hơn, liên hệ nhà phát triển báo cáo vấn đề. Trích nguồn nghe lỗ hổng. Trên web chính thức plugin phải có trang 'liên hệ' hoặc email. Gửi email cho họ.
- Trong lúc chờ, dùng plugin thay thế giữ web hoạt động đầy đủ. Luôn có dự án B khi plugin ngừng hoạt động.
Như đã nói, nhiều plugin trong kho WordPress là dự án sở thích/phụ. Tức nhà phát triển làm sản phẩm miễn phí có thể bỏ dự án bất kỳ lúc nào. Chuyên gia bảo mật chỉ khuyến nghị dùng plugin premium của nhà phát triển uy tín, được tôn trọng trong cộng đồng. Nhà phát triển không được trả tiền cho plugin/theme thường dành ít thời gian duy trì/nâng cấp. Có việc chính trả lương – đầu tư thời gian vào sản phẩm không lợi nhuận không thực tế.
Lỗ hổng sẽ phát sinh trong plugin WordPress dù do chuyên gia hay nghiệp dư. Nếu dùng theme/plugin bị bỏ rơi, không bảo trì, không cập nhật. Khi lỗi xảy ra, muốn liên hệ nhà phát triển – nhưng team đã bỏ dự án, không có hỗ trợ. Để bạn – người dùng – trong thế khó vì chuyển plugin/theme thay thế tốn thời gian công sức nhưng là lựa chọn duy nhất khả thi. Thực hành bảo mật tốt khuyến khích tuân thủ quy trình chọn plugin. Liệt kê ở đây:
- Chọn plugin do nhà phát triển uy tín – tránh dùng plugin bị bỏ rơi bởi tác giả.
- Đảm bảo plugin được cập nhật thường xuyên – nghĩa là nhà phát triển vá lỗ hổng hacker có thể khai thác. Kiểm tra kho WordPress xem lần cập nhật gần nhất khi nào.
- Dùng plugin premium thay vì miễn phí. Nếu có bản free, dùng test chức năng cơ bản, nhưng khuyến nghị nâng cấp premium. Như thảo luận, plugin free có thể bị bỏ rơi, cập nhật quan trọng mất quá nhiều thời gian.
Hy vọng bài viết giúp bạn có phương án khi nhà phát triển không cập nhật plugin. Cảm ơn đã đọc, câu hỏi vui lòng liên hệ.