คู่มือฉบับสมบูรณ์สำหรับการอัปเดตความปลอดภัย WordPress อย่างปลอดภัย

สงสัยว่าจะดำเนินการอัปเดตความปลอดภัยบนเว็บไซต์ WordPress อย่างปลอดภัยอย่างไร?

การอัปเดตความปลอดภัยสำคัญมาก การล่าช้าอาจทำให้เว็บไซต์ถูกแฮก แต่หลายครั้งการอัปเดตก่อปัญหาความเข้ากันได้ (Compatibility issues) ทำให้เว็บไซต์เสียหาย เป็นสถานการณ์ Catch-22 (ดิเลมม่า)

โชคดีที่มีวิธีอัปเดตเว็บไซต์โดยไม่ทำให้เสียहาย ต้องทำแค่ใช้ Staging Site ทดสอบอัปเดต แล้วนำไปใช้บน Live Site

ในบทความนี้ เราจะแนะนำทุกขั้นตอนในการอัปเดตเว็บไซต์อย่างปลอดภัย

TL;DR: เพื่ออัปเดตเว็บไซต์อย่างปลอดภัย ใช้ปลั๊กอิน BlogVault Backup & Staging จะสร้างสำเนาเว็บไซต์จริง (Staging site) บน Staging site ทดสอบอัปเดต WordPress, ธีม, ปลั๊กอิน โดยไม่กระทบ Live site เมื่อพอใจว่าทำงานดี นำการเปลี่ยนแปลงจาก Staging ไป Live site

Security Updates คืออะไร? ทำไมจึงสำคัญ?

Updates (การอัปเดต) คือเวอร์ชันใหม่ของซอฟต์แวร์ที่แทนที่เวอร์ชันเก่า เช่นซอฟต์แวร์ทั่วไป WordPress, ธีม และปลั๊กอินได้รับอัปเดตเป็นประจำ

มี 5 ประเภทของอัปเดต: Security patches (แพทช์ความปลอดภัย), Bug fixes (แก้บั๊ก), New features (คุณสมบัติใหม่), Compatibility (ความเข้ากันได้), Performance updates (ปรับปรุงประสิทธิภาพ)

ทุกอัปเดตให้ประโยชน์ แต่อัปเดตความปลอดภัยสำคัญที่สุด

เพราะไม่ว่าซอฟต์แวร์จะสร้างได้ดีแค่ไหน มันมักพัฒนาช่องโหว่ (Vulnerabilities) ตามเวลา ซึ่งถูกใช้ประโยชน์เพื่อแฮกเว็บไซต์ เมื่อนักพัฒนารู้จัก พวกเขาแก้ไขช่องโหว่และปล่อยแพทช์ผ่าน Security update

หาเจ้าของเว็บเลื่อนอัปเดตปลั๊กอิน ธีม หรือ WordPress core ช่องโหว่ยังคงอยู่ พร้อมถูกใช้ประโยชน์โดยแฮกเกอร์ ดังนั้น จำเป็นต้องอัปเดตเว็บไซต์ให้ทันสมัย

เพื่อเข้าใจความสำคัญของ Security updates ใน WordPress ต้องจัดการช่องโหว่ WordPress ทั่วไปที่ส่งผลต่อเว็บไซต์

ช่องโหว่ WordPress ทั่วไป:

i. ช่องโหว่ SQL Injection

ทุกเว็บ WordPress มี Input fields เช่น ฟอร์มติดต่อ, ส่วนความคิดเห็น, การค้นหา ฟิลด์เหล่านี้มักเปิดใช้งานโดยปลั๊กอิน หลังผู้เยี่ยมชมกรอกข้อมูล ข้อมูลจะจัดเก็บในฐานข้อมูลเว็บไซต์ เพื่อรักษาความปลอดภัยฐานข้อมูล Input fields ต้องตรวจสอบและทำความสะอาดข้อมูล (Sanitize) ก่อนส่งไปฐานข้อมูล

เช่น ฟอร์มติดต่อควรยอมรับชื่อ, เบอร์โทร, อีเมล แต่ถ้าไม่ตั้งค่า Sanitize ข้อมูลที่ผู้เยี่ยมชมกรอก จะเปราะบางต่อ SQL Injection

หมายถึง แฮกเกอร์ปลอมตัวเป็นผู้เยี่ยมชม แทรกโค้ดอันตรายที่จะจัดเก็บในฐานข้อมูล แฮกเกอร์รันโค้ดต่อไปนี้เพื่อขโมยข้อมูลจากฐานข้อมูลและเข้าถึงเว็บไซต์ของคุณ

ii. ช่องโหว่ Cross-Site Scripting (XSS)

คล้าย SQL Injection ปลั๊กอินอาจพัฒนาช่องโหว่ XSS แฮกเกอร์ใช้ช่องโหว่ควบคุมเว็บไซต์ และดึงข้อมูลจากผู้เยี่ยมชม

สมมติ ช่องโหว่ XSS ในปลั๊กอินความคิดเห็น ให้แฮกเกอร์แทรกลิงก์อันตรายบนเว็บไซต์ เมื่อผู้เยี่ยมชมคลิกโดยไม่รู้เจตนา จะขออนุญาตเข้าถึง Browser cookies ของผู้เยี่ยมชม

ในมุมมองผู้เยี่ยมชม อาจดูเหมือนเว็บไซต์ขออนุญาต น่าจะตกเป็นเหยื่อและอนุญาตเข้าถึง Cookies ซึ่งมีข้อมูลละเอียดอ่อน เช่น ข้อมูลล็อกอิน, ข้อมูล e-banking

iii. การใช้ประโยชน์จาก Pharma Hack

Pharma hack exploits ใช้ขาย/โปรโมทยาผิดกฎหมาย

แฮกเกอร์ใช้ประโยชน์จากช่องโหว่ในปลั๊กอิน ธีม หรือ Core ของเว็บไซต์ เข้าถึงเว็บไซต์ แล้วหาหน้าที่จัดอันดับสูงสุด และแทรกโฆษณายาผิดกฎหมาย เช่น viagra, cialis, levitra

เร็วๆ นี้ หน้าของคุณจัดอันดับสำหรับผลิตภัณฑ์เภสัชกรรมผิดกฎหมาย เมื่อผู้เยี่ยมชมมาและคลิกโฆษณา จะถูกเปลี่ยนเส้นทางไปเว็บแฮกเกอร์ Pharma hacks ขโมยความพยายาม SEO และขับไล่ผู้เยี่ยมชม

iv. การใช้ประโยชน์จาก Backdoor

Backdoors คือจุดเข้าแฝงในเว็บไซต์ มักพบในปลั๊กอินและธีมลิขสิทธิ์ (Pirated)

เจ้าของเว็บหลายคนใช้ซอฟต์แวร์ลิขสิทธิ์ เพราะจ่ายต้นทุนต้นฉบับไม่ได้ แตesoftware ลิขสิทธิ์มักมาพร้อม Backdoor ติดตั้งไว้ หมายถึงตอนติดตั้งบนเว็บ จะให้จุดเข้าสู่แฮกเกอร์

v. การใช้ประโยชน์จาก Phishing

แฮกเกอร์ใช้ Phishing exploits เข้าถึงเว็บไซต์และส่งอีเมลสแปม จุดประสงค์คือหลอกลวงให้คนแบ่งปันข้อมูลละเอียดอ่อน เช่น บัตรเครดิต หรือข้อมูลธนาคาร

บริการอีเมลมีมาตรการ Anti-phishing แข็งแกร่ง หากพบว่าเว็บ WordPress ส่งอีเมลสแปม จะใส่เว็บไซต์ในบัญชีดำ (Blacklist)

นี่คือช่องโหว่ WordPress ทั่วไปที่สุด คุณคงสังเกตเห็นธีมที่ซ้ำซ้อน! ทั้งหมดเกิดจากช่องโหว่ความปลอดภัยในซอฟต์แวร์ที่ติดตั้งบนเว็บไซต์

นี่แสดงให้เห็นว่าการดำเนิน Security updates ทันทีที่ปล่อยออกมา สำคัญแค่ไหน

อย่างไรก็ตาม เราเข้าใจว่าอัปเดตมาบ่อย ยากที่จะติดตาม ในส่วนต่อไป เราจะแสดงวิธีติดตามอัปเดต

วิธีตรวจสอบ WordPress Security Updates

มี 2 วิธีตรวจสอบ Security updates:

1. ตรวจสอบด้วยตนเองจาก WordPress Dashboard (เหมาะกับเว็บเดียว)
2. ตรวจสอบด้วยปลั๊กอินจัดการเว็บไซต์ (เหมาะกับหลายเว็บ)

1. ตรวจสอบด้วยตนเองจาก WordPress Dashboard

การอัปเดต WordPress ด้วยตนเองเหมาะกับเจ้าของเว็บเดียว ทำได้ดังนี้:

• ล็อกอินเข้าสู่เว็บไซต์
• จากเมนู ไปที่ Dashboard > Updates

• หน้า Updates จะแสดงซอฟต์แวร์ที่ล้าสมัยทั้งหมด (Core, Plugin, Theme) พร้อมรายละเอียดเวอร์ชันใหม่ เมื่อคลิกลิงก์ View version details จะพบข้อมูลอัปเดต หากอัปเดตมี WP security patches จะระบุในรายละเอียดเวอร์ชัน

• บ่อยครั้งในรายละเอียดเวอร์ชัน จะพบว่า นักพัฒนาปล่อยการเปลี่ยนแปลงหลายประเภทในอัปเดตเดียว เช่น ปลั๊กอินที่เราอัปเดตล่าสุด พบว่าอัปเดตแก้ทั้ง Bugs และ Compatibility issues

• บางครั้งอัปเดตนำคุณสมบัติใหม่มาพร้อม Security patches อาจ棘手 (Tricky) แม้คุณไม่อยากได้คุณสมบัติใหม่ ก็ยังต้องอัปเดต WordPress เพื่อให้แน่ใจว่าไม่เปราะบาง

2. ตรวจสอบด้วยปลั๊กอินจัดการเว็บไซต์ (Site Management Plugin)

ติดตามอัปเดตบนเว็บเดียวยากพอแล้ว ติดตามหลายเว็บเป็น "มาระ" (Nightmare)

แต่ปลั๊กอินอย่าง BlogVault จะช่วยตรวจสอบอัปเดตสำหรับหลายเว็บ WordPress จากแดชบอร์ดเดียว

• สมัคร BlogVault และเพิ่มเว็บไซต์เข้าสู่แดชบอร์ด
• ทันทีจะเห็นว่ามีปลั๊กอินและธีมกี่ตัวที่รออัปเดตบนแต่ละเว็บ

• เพื่อดูรายละเอียดอัปเดต ต้อง เลือกเว็บไซต์ แล้วคลิก Manage

• จากนั้น คลิกที่เวอร์ชันใหม่ เพื่อดูรายละเอียดอัปเดต

จนตรงนี้ จบการตรวจสอบอัปเดต ต่อไปมาดูวิธีดำเนิน Security updates อย่างปลอดภัย

วิธีดำเนินการ WordPress Security Update อย่างปลอดภัย

มี 2 วิธีดำเนิน Security updates:

1. อัปเดตบน Staging Site (ปลอดภัย)
2. อัปเดตโดยตรงจาก Dashboard (ไม่ปลอดภัย)

การอัปเดตโดยตรงจาก Dashboard ทราบว่าทำให้เว็บไซต์เสีย การแก้ไขและกู้คืนเว็บที่เสีย เป็นกระบวนการยากและใช้เวลานาน ดังนั้นเราจะหลีกเลี่ยง และโฟกัสที่วิธีปลอดภัย

1. การอัปเดตบน Staging Site

ขั้นตอนที่ 1: สร้าง WordPress Staging Site

Staging site คือสำเนาทุกอย่างของเว็บไซต์ของคุณ

เช่นที่กล่าว อัปเดตอาจทำให้เว็บไซต์ Crash สภาพแวดล้อม Staging จะช่วยทดสอบอัปเดตก่อนนำไปใช้บน Live site

มีปลั๊กอินมากมายช่วยสร้างสภาพแวดล้อม Staging ปลั๊กอิน BlogVault ของเรามี Staging environment ฟรี และตั้งค่าง่ายมาก

สมมติคุณสมัคร BlogVault และเพิ่มเว็บไซต์เข้าสู่แดชบอร์ดแล้ว:

• ไปที่ส่วน Staging และคลิก Add Staging

• BlogVault จะขอให้เลือก Backup และ PHP version ที่ต้องการ

• ใช้เวลานานกี่นาทีในการสร้าง Staging site พร้อมแล้วคุณเริ่มทดสอบอัปเดตได้

ขั้นตอนที่ 2: ทดสอบอัปเดตบน Staging Site

เพื่อทดสอบอัปเดต ต้องล็อกอินเข้าสู่ Staging site ที่เพิ่งสร้าง URL จะคล้ายๆ นี้ – https://yoursite.d.wpstage.net/

ล็อกอิน Staging site ได้ด้วยข้อมูลประจำตัวปกติ แต่เปิด URL Staging จะพบว่ามีการป้องกันด้วยรหัสผ่าน (Password protected) เพื่อให้ Staging site เป็นส่วนตัว ไม่เข้าถึงได้โดยสาธารณะหรือเครื่องมือค้นหา

• ต้องกลับไปที่แดชบอร์ด BlogVault และดึง Username และ Password จากส่วน Staging ใช้เข้าถึง Staging site

• เพื่อไปหน้าล็อกอิน Staging site ให้เพิ่ม /wp-admin/ ท้าย URL เช่น https://yoursite.d.wpstage.net/wp-admin
• ใช้ข้อมูลประจำตัวปกติล็อกอินเข้าสู่ WordPress Dashboard
• เพื่อดำเนินอัปเดต ไปที่ Dashboard > Updates

• หน้า Updates จะแสดงซอฟต์แวร์ล้าสมัยทั้งหมดพร้อมรายละเอียดเวอร์ชันใหม่ เพื่ออัปเดต ต้อง เลือกปลั๊กอิน ธีม หรือ Core แล้วกดปุ่ม Update

• หลังอัปเดตแล้ว ต้อง ตรวจสอบว่าเว็บไซต์ทำงานปกติ แนะนำตรวจสอบหน้าสำคัญและฟังก์ชันทั้งหมด รวมถึงหน้าแรก, บล็อก, หน้าตะกร้าสินค้า, หน้าชำระเงิน ฯลฯ

เมื่อพร้อม ขยับไปขั้นตอนต่อไป

ขั้นตอนที่ 3: อัปเดต Live Site

หากพบว่าอัปเดตไม่ก่อให้เกิดความเสียหาย สามารถดำเนินอัปเดตเดียวกันบน Live site

ไม่ต้องล็อกอิน Live site และอัปเดตใหม่ สามารถ Merge (รวม) Staging site กับ Live site ได้

• บนแดชบอร์ด BlogVault ไปที่ส่วน Staging และคลิก Merge

• BlogVault จะเริ่มซิงค์ Live site กับ Staging site ในที่สุดจะสร้างหน้าที่ คุณเห็นความแตกต่างระหว่าง Staging และ Live site ไม่ต้อง Merge ทั้งเว็บ แค่เลือกปลั๊กอิน ธีม และ Core ที่เพิ่งทดสอบ แล้วคลิก Next

• จากนั้นป้อนข้อมูล FTP Credentials Staging site จะ Merge กับ Live site

หมายเหตุ: หากไม่รู้ FTP credentials คืออะไร หาได้จากวิดีโอเหล่านี้ หรือติดต่อโฮสติ้ง WordPress และแพลตฟอร์มโฮสติ้ง

จนตรงนี้ จบวิธีดำเนินอัปเดตอย่างปลอดภัย

อัปเดตอาจทำให้เว็บไซต์เสีย จึงสำคัญที่จะเรียนรู้วิธีอัปเดตความปลอดภัยเว็บไซต์ บทความนี้สอนให้ตรงจุด

ขั้นตอนต่อไปคืออะไร?

เช่นที่กล่าว อัปเดตซอฟต์แวร์จะแก้ไขช่องโหว่ และช่วยให้เว็บปลอดภัยจากแฮกเกอร์และบอท แต่ช่องโหว่ซอฟต์แวร์ไม่ใช่ภัยคุกคามเพียงอย่างเดียว มีช่องโหว่อื่นที่แฮกเกอร์ใช้บุกเข้าเว็บ เช่น ข้อมูลเข้าสู่ระบบผู้ใช้ที่อ่อนแอ

เพื่อปกป้องเว็บไซต์จากทุกประเภทของช่องโหว่และการโจมตี (เช่น DDoS attacks, Brute force attacks) เราแนะนำใช้ปลั๊กอินอัปเดต WordPress และปลั๊กอินความปลอดภัย WordPress อย่าง MalCare

ปลั๊กอินจะปกป้องเว็บด้วยไฟร์วอลล์ และจำกัดการพยายามล็อกอินด้วยมาตรการ Login protection จะช่วยดำเนินมาตรการ Site hardening และสแกนเว็บไซต์ทุกวัน หากตรวจพบกิจกรรมอันตราย จะแจ้งเตือนทันที

ติดตั้ง MalCare เพื่อปกป้องเว็บไซต์ 24×7