เมื่อนักพัฒนาปลั๊กอินไม่อัปเดต: เจ้าของเว็บควรทำอย่างไร?

นักพัฒนาไม่อัปเดตปลั๊กอิน: เจ้าของเว็บไซต์ WordPress ได้รับคำเตือนตลอดเวลาให้อัปเดต WordPress Core และส่วนเสริม (ธีมและปลั๊กอิน) ถ้าปล่อยไว้ ส่วนเสริมจะพัฒนาช่องโหว่ที่แฮกเกอร์ใช้ประโยชน์แฮกเข้าไซต์ แต่ถ้าช่องโหว่ถูกค้นพบไปแล้วสักพัก แต่นักพัฒนาปลั๊กอินยังไม่ปล่อยอัปเดตแก้ไข คุณจะทำอย่างไร? เป้าหมายของบทความนี้คืออภิปรายแนวทางปฏิบัติที่จะรักษาไซต์ให้ปลอดภัยจนกว่านักพัฒนาจะปล่อยอัปเดต

ในปี 2016 บล็อกความปลอดภัยรายงานช่องโหว่ Cross-Site Scripting ที่พบใน W3 Total Cache ปลั๊กอินแคชยอดนิยม W3 Total Cache เป็นปลั๊กอินแคชยอดนิยมมากที่สุด มีการติดตั้งใช้งานเกิน 1 ล้านครั้ง และไว้ใจโดยเว็บไซต์อย่าง pearsonified.com, mashable.com และเว็บไซต์บริษัท AT&T นี่ไม่ใช่ครั้งแรกที่ W3 Total Cache มีช่องโหว่ จริงๆ แล้วในอดีต Total Cache เคยมีช่องโหว่หลายอย่าง และบางอย่างถูกใช้ประโยชน์

ในขณะที่รายงานออกมา มีที่จำนนเกี่ยวกับปัญหาการสนับสนุนลอยลางบนฟอรัม โดยผู้ใช้พยายามติดต่อนักพัฒนาหลายเดือนแทบไม่สำเร็จ ผู้ใช้คนหนึ่งโพสต์บนกลุ่ม Facebook ว่าปลั๊กอินไม่ได้อัปเดตมานานกว่า 7 เดือน ในจุดนี้ ความกังวลเกี่ยวกับความเสียหายที่ช่องโหว่ Cross-Site Scripting อาจทำให้เว็บไซต์ที่ใช้ W3 Total Cache เกิดขึ้นได้ เป็นเรื่องเข้าใจง่าย

เกือบหนึ่งสัปดาห์หลังจากช่องโหว่ถูกเปิดเผย W3 Total Cache ปล่อยอัปเดตและปิดช่องโหว่ที่ถูกใช้ประโยชน์ นอกจากนี้ ยังเพิ่มฟีเจอร์ใหม่ให้ผลิตภัณฑ์ แต่ทันทีหลังปล่อยแพทช์ เจ้าของเว็บหลายคนรายงานว่าอัปเดตทำให้ไซต์พัง ไม่แปลกที่อัปเดตใหม่จะทำให้เว็บพัง ซึ่งเป็นเหตุผลที่แนะนำให้ใช้สภาพแวดล้อม Staging ให้คุณทดสอบอัปเดตบนไซต์ Staging ก่อนนำไปใช้บนไซต์จริง หากไซต์ Staging พังตอนอัปเดต คุณสามารถแจ้งปัญหาให้นักพัฒนาโดยไม่ทำลายไซต์จริง และแม้จะใช้เวลาสักพักสำหรับนักพัฒนา W3 Total Cache ในการปล่อยแพทช์ แต่สิ่งต่างๆ ไม่ได้นำไปสู่ภัยพิบัติร้ายแรง

ควรทำอย่างไรเมื่อนักพัฒนาไม่อัปเดตปลั๊กอิน?

WordPress เป็นแพลตฟอร์มสร้างเว็บไซต์ยอดนิยมโลก และหนึ่งในเหตุผลใหญ่คือการใช้ปลั๊กอินที่ทำให้ผู้ใช้ออกแบบไซต์และเพิ่มฟังก์ชันได้ง่าย ปลั๊กอิน WordPress หลายตัวถูกสร้างโดยนักพัฒนาเป็นโปรเจกต์รอง เมื่อช่องโหว่เกิดขึ้น ใช้เวลาและความพยายามมากไม่เพียงแค่ระบุปัญหา แต่ยังรวมถึงการพัฒนาแพทช์ บางครั้ง พวกเขาไม่สามารถดูแลช่องโหว่ปลั๊กอินทันที เพราะมีงานประจำต้องไปทำ โปรเจกต์รองไม่ใช่เรื่องสำคัญที่สุด นำไปสู่ความล่าช้าในการปล่อยแพทช์

WordPress เป็นชุมชนอินเทอร์เน็ตที่ขยายทั่วโลก และข่าวเกี่ยวกับช่องโหว่ที่พบใน lõiหรือส่วนเสริม (ธีมและปลั๊กอิน) เผยแพร่เร็วมาก หมายความว่าแฮกเกอร์ที่ล่ารอเว็บไซต์ที่เปราะบาง จะเปิดโจมตีแบบใหญ่โตบนเว็บไซต์ภายในไม่กี่ชั่วโมง ดังนั้น เมื่อพบช่องโหว่ปลั๊กอิน แต่นักพัฒนายังไม่ปล่อยอัปเดต สำคัญมากที่จะดำเนินการเพื่อให้ไซต์ปลอดภัย นี่คือสิ่งที่ควรทำเมื่อเจอสถานการณ์แบบนี้:

• ปิดใช้งานปลั๊กอิน จนกว่านักพัฒนาจะปล่อยอัปเดตแก้ไขช่องโหว่
• ถ้าไม่ใช่ปลั๊กอินพรีเมียมหรือเวอร์ชันพรีเมียม ไปที่ฟอรัมสนับสนุนบน wordpress.org และร้องเรียน หวังว่าการร้องเรียนมากพอจะผลักดันนักพัฒนาปล่อยแพทช์เร็วขึ้น
• ปกติ อัปเดตจะมาภายใน 48 ชั่วโมงหลังพบช่องโหว่ แต่ถ้านานกว่านั้น ติดต่อนักพัฒนาและแจ้งปัญหา อ้างอิงแหล่งที่มา คือคุณได้ยินช่องโหว่จากที่ไหน บนเว็บไซต์อย่างเป็นทางการของปลั๊กอิน ต้องมีหน้า 'ติดต่อเรา' หรืออีเมลอยู่ที่ไหนสักแห่ง ส่งอีเมลไปหาพวกเขา
• ในช่วงเวลานั้น ใช้ปลั๊กอินทางเลือก ที่ช่วยให้ไซต์ทำงานเต็มที่ แนะนำเสมอว่าควรมีแผนสำรองเมื่อปลั๊กอินหยุดทำงาน

เหมือนที่กล่าวไว้ มีปลั๊กอินเยอะมากใน WordPress repository ที่พัฒนาเป็นงานอดิเรกหรือโปรเจกต์รอง หมายความว่านักพัฒนาที่สร้างผลิตภัณฑ์ฟรีอาจทิ้งผลิตภัณฑ์ทุกเมื่อ และนั่นคือเหตุผลที่ผู้เชี่ยวชาญด้านความปลอดภัยแนะนำให้ใช้ปลั๊กอินพรีเมียมที่สร้างโดยนักพัฒนาที่มีชื่อเสียงและได้รับการเคารพในชุมชน นักพัฒนาที่ไม่ได้รับเงินจากปลั๊กอินหรือธีมที่สร้าง มักใช้เวลาน้อยในการปรับปรุงหรือดูแลรักษาปลั๊กอิน/ธีม พวกเขาอาจมีงานประจำที่ทำให้วุ่นวายและจ่ายค่าใช้จ่าย ทำให้การลงทุนเวลาในผลิตภัณฑ์ที่ไม่ได้ประโยชน์ทางการเงินเป็นสิ่งไม่เป็นประโยชน์

ช่องโหว่จะเกิดในปลั๊กอิน WordPress ไม่ว่าจะสร้างโดยผู้เชี่ยวชาญหรือมือใหม่ หากคุณยังใช้ธีม/ปลั๊กอินที่ถูกทิ้ง จะไม่มีการดูแลรักษา จึงไม่มีอัปเดต เมื่อเกิดข้อผิดพลาด คุณอยากติดต่อนักพัฒนาปลั๊กอิน แต่เพราะปลั๊กอินถูกทิ้งโดยทีมนักพัฒนา คุณจะไม่ได้รับการสนับสนุน นั่นทำให้คุณ ผู้ใช้ อยู่ใน ситуация ยาก เพราะการเปลี่ยนไปใช้ปลั๊กอิน/ธีมทางเลือก ต้องลงทุนเวลาและความพยายามใหม่ทั้งหมด แต่เป็นทางเลือกที่เป็นไปได้เพียงทางเดียว แนวทางปฏิบัติความปลอดภัยเว็บไซต์ที่ดี ส่งเสริมให้ผู้ใช้ปฏิบัติตามโปรโตคอลบางอย่างในการเลือกปลั๊กอิน เราได้ระบุนี่ไว้ที่นี่:

• เลือกปลั๊กอินที่ พัฒนาโดยนักพัฒนาที่มีชื่อเสียง เพื่อหลีกเลี่ยงสถานการณ์ที่คุณใช้ปลั๊กอินที่ถูกทิ้งโดยผู้สร้าง
• ตรวจสอบให้แน่ใจว่า ปลั๊กอินถูกอัปเดตเป็นประจำ หมายถึงนักพัฒนากำลังแก้ไขช่องโหว่ที่อาจถูกแฮกเกอร์ใช้ประโยชน์แฮกเข้าไซต์ ไปที่ WordPress repository ดูว่าอัปเดตล่าสุดเมื่อไหน

• ใช้ปลั๊กอินพรีเมียม แทนฟรี ถ้ามีเวอร์ชันฟรี ใช้ทดสอบฟังก์ชันพื้นฐาน แต่เราแนะนำอัปเกรดเป็นพรีเมียม เหมือนที่อภิปราย ฟรีอาจถูกทิ้ง หรืออัปเดตสำคัญอาจใช้เวลานานเกินไป

เราหวังว่าบทความนี้ช่วยให้คุณมีแนวทางปฏิบัติเมื่อนักพัฒนาไม่อัปเดตปลั๊กอิน ขอบคุณที่อ่าน และหากมีคำถาม กรุณาเขียนมาหาเรา