WordPress įskiepių spragos: kaip sužinoti per valandą, ar jūsų svetainė paveikta

„WordPress“ svetainė nėra viena programa. Tai branduolys, tema ir keliolika ar keliasdešimt įskiepių, kurių kiekvieną kuria kitas autorius ir kiekvienas atnaujinamas atskirai. Todėl klausimas „ar mano svetainė atnaujinta?“ iš tikrųjų yra klausimų sąrašas – po vieną kiekvienam įskiepiui.

Šis gidas sudeda tą sąrašą į vieną valandą ir remiasi tik viešais šaltiniais: wordpress.org dokumentacija, viešomis spragų duomenų bazėmis ir mūsų pačių stebėjimu.

Kodėl būtent įskiepiai

WordPress.org saugumo stiprinimo gide rašoma tiesiai: kai „WordPress“ aptinkama spraga ir išleidžiama ją taisanti versija, informacija, reikalinga spragai išnaudoti, „beveik neabejotinai jau yra viešai prieinama“ – todėl senos versijos tampa atviresnės atakoms. Tas pats galioja įskiepiams, tik jų svetainėje yra daug, o pranešimas apie atnaujinimą dažnai lieka neperskaitytas.

Patchstack duomenų bazėje 2026-10-25 trims iš keturių dažniausiai mūsų imtyje matytų įskiepių buvo įrašyta: „Contact Form 7“ – 7 ištaisytos spragos, paskutinė (užsakymo pakartojimo spraga, versijos iki 6.0.5) paskelbta 2025-04-15; „Elementor“ – 44 ištaisytos, naujausios (versijos iki 4.3.5) tą dieną buvo pažymėtos kaip paskelbtos prieš tris dienas; „Slider Revolution“ – 24 ištaisytos, naujausia (7.0.0–7.0.16) paskelbta 2026-06-30.

Visų trijų grafoje „present“ buvo 0 – neištaisytų spragų tą dieną neįrašyta. Skaičiai rodo ne tai, kad įskiepiai blogi, o tai, kad kiekvienas turi istoriją, ir jūsų versija joje arba yra, arba ne.

Ką rodo mūsų stebėjimas: 535 svetainės iš 890

2026 m. spalio 24 d. peržiūrėjome Lietuvos įmonių svetainių imtį iš savo sąrašų: kiekvienai svetainei po vieną viešo pagrindinio puslapio užklausą, laikantis robots.txt, nieko nebandant. Metodika ir kiti rodikliai – Lietuvos įmonių svetainių saugumo tyrime. „WordPress“ dalis:

Įspėjimas, galiojantis kaskart, kai šie skaičiai cituojami: imtis sudaryta iš mūsų pačių sąrašų įmonių, ji nėra atsitiktinė, tad procentų negalima taikyti Lietuvos įmonėms apskritai.

Be to, puslapio kodas rodo tik tuos įskiepius, kurie įkelia savo failus į pagrindinį puslapį – administravimo, atsarginių kopijų ar SEO įskiepių iš išorės dažniausiai nematyti, o versiją rodo tik dalis jų.

60 minučių patikra

1. Įskiepių sąrašas (0–10 min.). Valdymo skydelyje atidarykite „Tools“ → „Site Health“ → „Info“. Pagal wordpress.org dokumentaciją čia yra skiltys „Active Plugins“ ir „Inactive Plugins“ su kiekvieno įskiepio versija ir eksporto mygtukas, kuris visą informaciją nukopijuoja į iškarpinę. Įklijuokite ją į dokumentą – tai jūsų inventorius su data.
2. Versijos ir laukiantys atnaujinimai (10–20 min.). „Dashboard“ → „Updates“ rodo, kuriems įskiepiams yra naujesnė versija. Kiekvieno įskiepio puslapis wordpress.org kataloge nurodo dabartinę versiją, kada ji išleista, su kuria „WordPress“ versija išbandyta („Tested up to“) ir kokios PHP versijos reikia. Pavyzdys 2026-10-25: „Contact Form 7“ 6.2.3, atnaujintas prieš 4 dienas, išbandytas su 7.1.3, reikalauja PHP 8.3 ar naujesnės – tai primena, kad įskiepių atnaujinimas susijęs ir su PHP šaka.
3. Patikra spragų duomenų bazėje (20–35 min.). Patchstack duomenų bazė (patchstack.com/database) turi paiešką pagal paveiktą programinę įrangą, o kiekvienas „WordPress“ įskiepis turi puslapį adresu patchstack.com/database/wordpress/plugin/<įskiepio-slug>; slug – tas pats žodis, kurį matote wordpress.org adrese ir aplanke /wp-content/plugins/. Puslapyje – spragų istorija su paveiktomis versijomis ir paskelbimo datomis. Jūsų klausimas kiekvienam įskiepiui vienas: ar mano versija patenka į paveiktų intervalą? Antra duomenų bazė – „Wordfence Intelligence“ (wordfence.com/threat-intel); 2026-10-25 jos programinė sąsaja reikalavo API rakto, todėl pavyzdžius šiame gide imame iš Patchstack.
4. Atsarginė kopija (35–40 min.). WordPress.org dokumentacija kartoja tą patį dviejose vietose: prieš atnaujinant įskiepius turėkite naujausią atsarginę kopiją, nes atnaujinant kartais kyla problemų. Kopiją sudaro dvi dalys – failai ir duomenų bazė; atkurti svetainę galima tik turint abi.
5. Atnaujinimai nustatyta tvarka (40–50 min.). Mūsų siūloma eilė: pirmiausia įskiepiai, kurių versija pateko į paveiktą intervalą; tada likę įskiepiai; tada tema; galiausiai branduolys. Po kiekvieno žingsnio atidarykite pagrindinį puslapį, kontaktų formą ir, jei yra, krepšelį. Jei įskiepis reikalauja naujesnės PHP versijos nei jūsų serverio, sustokite ir pirmiau išspręskite PHP klausimą.
6. Nenaudojamų pašalinimas (50–55 min.). WordPress.org saugumo stiprinimo gidas: įskiepiai turi būti nuolat atnaujinami, o jei įskiepio nenaudojate – ištrinkite jį iš sistemos. Išjungtas įskiepis lieka diske su visu savo kodu.
7. Versijų žymos ir automatiniai atnaujinimai (55–60 min.). „WordPress“ į puslapio kodą įrašo generatoriaus žymą su branduolio versija (funkcija wp_generator, kurią kūrėjas gali išjungti), o įskiepių failų adresai dažnai turi ?ver= priedėlį. Paslėpti galima, bet wordpress.org tai vadina saugumu per neaiškumą – „apskritai netinkama pagrindine strategija“. Svarbesnis žingsnis: nuo „WordPress“ 5.5 „Plugins“ ekrane kiekvienam įskiepiui galima įjungti automatinius atnaujinimus; pagal numatytuosius nustatymus „WordPress“ juos vykdo du kartus per parą, o apie sėkmę ar nesėkmę svetainės savininkui siunčiamas el. laiškas. Ta pati dokumentacija pataria prieš įjungiant įsitikinti, kad mokate grįžti prie ankstesnės versijos.

Kodėl NVD paieška pagal įskiepio pavadinimą dažnai nieko neranda

JAV nacionalinė spragų duomenų bazė NVD programinę įrangą identifikuoja CPE 2.3 vardais pagal NIST IR 7695 specifikaciją. „WordPress“ įskiepiams ten naudojamas atskiras laukas target_sw su reikšme wordpress, o gamintojo pavadinimas rašomas ne pagal wordpress.org slug, bet pagal įmonę.

2026-10-25 NVD CPE sąsaja „Contact Form 7“ grąžino 56 įrašus formato cpe:2.3:a:rocklobster:contact_form_7:<versija>:*:*:*:*:wordpress:*:*. Kas ieškotų žodžio „contact-form-7“, nieko nerastų. Dėl to praktinė patikra prasideda nuo įskiepiams skirtų duomenų bazių, o NVD lieka pirminiu šaltiniu CVE įrašui patikrinti.

Kaip tai daro mūsų „Sentinel“ variklis

Northwestern Tideline stebėjimo sluoksnyje veikia variklis, kurį vadiname „Sentinel“.

Jis kasdien skaito pirminius šaltinius – CVE įrašus, NVD, CISA KEV, gamintojų pranešimus ir įskiepių duomenų bazes – ir kiekvieną naują įrašą sugretina su technologijomis, kurias svetainė rodo viešai: branduolio versija generatoriaus žymoje, įskiepių pavadinimais /wp-content/plugins/ keliuose, PHP ar serverio antraštėmis.

Sutapimas tampa pranešimu su įrašo numeriu, data ir paveiktu versijų intervalu – ne su CVSS balu kaip vieninteliu argumentu.

Ribos tokios pat, kaip šio gido: matome tik tai, ką svetainė pati rodo vienoje viešoje užklausoje. Daugumos įskiepių versijos iš išorės nematyti, serverio pusės – taip pat, tad pranešimas reiškia „paskelbta spraga liečia įskiepį, kurį jūsų svetainė rodo“, o ne „jūsų svetainė pažeista“.

Ar versija patenka į paveiktą intervalą, nustatoma kartu su jūsų administratoriumi pagal rašytinį susitarimą – be jo nieko netikriname. Jei norite, kad įskiepių, PHP ir el. pašto apsaugos būklę peržiūrėtume kartu, aprašykite situaciją užklausos formoje.

Platesnis kontekstas – kibernetinio saugumo įmonei gide.