GoDaddy หนึ่งในเว็บโฮสต์ใหญ่ที่สุด ค้นพบการรั่วไหลข้อมูลเมื่อวันที่ 17 พฤศจิกายน 2021 ชุมชน WordPress ได้พูดคุยถึง เหตุการณ์รั่วไหลข้อมูล GoDaddy และความหมายของมัน เพราะเป้าหมายหลักของการละเมิดความปลอดภัยครั้งนี้คือลูกค้า Managed WordPress ของ GoDaddy
ปัญหาของข่าวประเภทนี้คือมีเสียงรบกวนมาก เพราะทุกคนกระโดดมาร่วมแถลง ขณะที่เราที่ MalCare มีประสบการณ์ 10 ปี พบว่าคนมักเข้าใจผิดเกี่ยวกับสิ่งที่เป็นความปลอดภัย WordPress บ่อยครั้ง คำแนะนำไม่ได้เป็นประโยชน์ และในบางกรณีอาจเป็นอันตรายต่อเว็บไซต์อย่างแท้จริง
ลูกค้า GoDaddy กำลังตกใจและมองหาคำตอบที่ชัดเจนและตรงไปตรงมา ในบทความนี้ เราจะแยกวิเคราะห์สิ่งที่เกิดขึ้นอย่างง่ายที่สุด และบอกขั้นตอนต่อไปที่คุณควรทำ
การรั่วไหลข้อมูล GoDaddy: เกิดอะไรขึ้น และทำไมทุกคนถึงตกใจ
GoDaddy ประสบการรั่วไหลข้อมูลรุนแรง ซึ่งพวกเขาค้นพบเมื่อวันที่ 17 พฤศจิกายน และเผยแพร่聲明เมื่อวันที่ 22 พฤศจิกายน นี่คือสรุปสั้นๆ ของสิ่งที่เกิดขึ้น:
- ตามการสืบสวนของพวกเขา ข้อมูลถูกขโมยมากว่า 2.5 เดือน ก่อนที่พวกเขาจะรู้ว่ากำลังเกิดขึ้น
- ข้อมูลรับรอง SFTP และฐานข้อมูลของลูกค้า Managed WordPress 1.2 ล้านคน ถูกขโมย
- รหัสผ่านแอดมิน WordPress บางส่วน ถูกเปิดเผย นี่คือรหัสผ่านแอดมินที่ระบบตั้งค่าโดยอัตโนมัติเมื่อสร้างเว็บไซต์ครั้งแรก
- SSL private keys ถูกขโมยสำหรับผู้ใช้บางคน Private key ของ SSL เป็นส่วนสำคัญที่สุดของใบรับรอง SSL และเป็นรากฐานของความปลอดภัย Private key ที่ถูกขโมยทำให้ใบรับรอง SSL ไม่ปลอดภัยและไร้ค่า
- GoDaddy เก็บรหัสผ่านในรูปแบบ plaintext
- เราสามารถคาดเดาได้เท่านั้น แต่โดยทั่วไปเราเห็นเว็บโฮสต์ส่วนใหญ่เก็บรหัสผ่าน SFTP ใน plaintext นี่เป็นปัจจัยความสะดวก เพราะข้อมูลรับรอง SFTP มักถูกสร้างโดยอัตโนมัติ ไม่ใช่โดยผู้ใช้ ดังนั้น เพื่อให้คนใช้งานได้ จึงถูกเก็บใน plaintext
- ใช้เวลากว่า 2 เดือนในการตรวจพบการรั่วไหลข้อมูล
- เช่นที่กล่าวไว้ นี่คือปัญหาจริง มัลแวร์ทำให้เกิดความเสียหายมากขึ้นเรื่อยๆ ยิ่งทิ้งไว้นาน แฮ็กเกอร์มีสิทธิ์เข้าถึงฐานข้อมูลและไฟล์เว็บไซต์นานกว่า 2 เดือน นี่เป็นความล้มเหลวที่ไม่น่าเชื่อ
- รหัสผ่านยากที่จะจำ และผู้ใช้มักลืมหรือสูญหาย
- โอกาสที่รหัสผ่านเหล่านี้จะถูกนำไปใช้ซ้ำที่อื่น น้อยมาก
- ติดตั้งปลั๊กอินความปลอดภัยพร้อมการสแกนรายวัน ปลั๊กอินความปลอดภัยไม่สามารถปกป้องคุณจากการรั่วไหลเนื่องจากรหัสผ่านถูกขโมยได้ แต่เพราะคุณจะมีการสแกนเว็บไซต์รายวัน หากมีมัลแวร์บนเว็บไซต์ คุณจะรู้ภายใน 24 ชั่วโมง แทนที่จะเป็น 2 เดือน นี่สำคัญมากสำหรับการตรวจจับมัลแวร์และลดความสูญเสีย
- เลือกการสำรองข้อมูลแบบ offsite และ full backup เสมอ หากอะไรสักอย่างเกิดขึ้นกับเซิร์ฟเวอร์เว็บของคุณ และสำรองข้อมูลของคุณก็เก็บอยู่ที่นั่นด้วย? นั่นคือจุดจบสำหรับเว็บไซต์ของคุณ
- ใช้รหัสผ่านที่แข็งแกร่งและไม่ซ้ำกัน รหัสผ่านที่ถูกขโมยคือการเข้าถึงบัญชีอย่างอิสระ และหากคุณใช้รหัสผ่านเดียวกันข้ามหลายบัญชี คุณก็คือกำลังปูพรมแดงให้บัญชีทั้งหมดนั้น หากมีข้อเรียนรู้หนึ่งอย่างจากความวุ่นวายนี้ คือ ต้องมีรหัสผ่านต่างกันสำหรับบัญชีต่างๆ ด้วยวิธีนี้ แม้จะมีการรั่วไหล ความเสียหายก็จำกัดอยู่ และคุณไม่ต้อง倉皇ไปรักษาความปลอดภัยบัญชีอื่นๆ การตั้งรหัสผ่านที่แข็งแกร่งและไม่ซ้ำกันเป็นเรื่องลำบาก ดังนั้นเราแนะนำให้ใช้ password manager
ภายหลังพบว่า ผู้ขายต่อ (resellers) ก็ได้รับผลกระทบจากเหตุการณ์รั่วไหลข้อมูล GoDaddy ด้วย
GoDaddy พยายามลดความเสียหาย และอาจติดต่อลูกค้าที่ได้รับผลกระทบโดยตรงแล้ว อย่างไรก็ตาม ในช่วงเวลานี้ การรับรองจาก GoDaddy จะไม่ได้รับการต้อนรับอย่างดี พวกเขาจะพยายามควบคุมความเสียหายและรักษาลูกค้าให้มากที่สุด ซึ่งลูกค้าจะเข้าใจได้ว่าต้องการการชดเชยหรือออกจาก GoDaddy โดยสิ้นเชิง
การรั่วไหลข้อมูล GoDaddy ส่งผลต่อคุณอย่างไร และคุณควรทำอะไร
หากคุณเป็นลูกค้า Managed WordPress มีใบรับรอง SSL ที่ออกโดย GoDaddy หรือซื้อโฮสติ้งผ่านผู้ขายต่อของ GoDaddy คุณเป็นหนึ่งในกลุ่มที่ได้รับผลกระทบมากที่สุดจากเหตุการณ์รั่วไหลข้อมูล GoDaddy
หากคุณเป็นลูกค้า Managed WordPress คุณควรทำอะไร?
ลูกค้า Managed WordPress ของ GoDaddy เป็นกลุ่มที่ได้รับผลกระทบรุนแรงที่สุด ตามที่ GoDaddy เปิดเผยในเอกสารยื่น SEC แฮ็กเกอร์มีสิทธิ์เข้าถึงข้อมูลรับรอง SFTP และฐานข้อมูลของทุกเว็บไซต์ที่โฮสต์บนแพลตฟอร์ม
แม้หลายคนจะไม่พอใจที่ข้อมูลรับรอง SFTP ถูกเก็บในรูปแบบ plaintext (ข้อความธรรมดา) ซึ่งเป็นอันตรายมาก แต่เรารู้สึกว่าข้อมูลรับรองฐานข้อมูลที่ถูกขโมยเป็นสาเหตุกังวลที่ใหญ่ที่สุด
ด้วยข้อมูลรับรองฐานข้อมูล สามารถเข้าถึงเว็บไซต์ WordPress ใดๆ ได้อย่างสมบูรณ์ นี่คือหนึ่งในเหตุผลที่การโจมตี SQL injection จึงอันตรายมาก
แฮ็กเกอร์อาจคัดลอก แก้ไข และเพิ่มไฟล์และฐานข้อมูลได้ตลอดเวลา ดังนั้น วิธีที่ปลอดภัยที่สุดคือ สมมติสถานการณ์แย่ที่สุด — ว่าแฮ็กเกอร์มีสิทธิ์เข้าถึงเว็บไซต์ของคุณอยู่ในขณะนี้ และเว็บไซต์ของคุณอาจมีมัลแวร์
วิธีกู้คืนเว็บไซต์ของคุณ
ทุกอย่างยังไม่สูญหาย และหากเว็บไซต์ของคุณยังทำงานอยู่ สถานการณ์นี้สามารถแก้ไขได้ นี่คือขั้นตอนที่คุณควรทำเพื่อกู้คืนเว็บไซต์จากแฮ็กเกอร์:
1. สแกนเว็บไซต์หามัลแวร์
ลำดับแรกคือการสแกนลึก (deep scan) เว็บไซต์ เพราะมัลแวร์อาจอยู่ที่ไหนก็ได้: ไฟล์ WordPress core โฟลเดอร์ปลั๊กอินและธีม และฐานข้อมูล ผ่านข้อมูลรับรองที่ถูกขโมย แฮ็กเกอร์มีสิทธิ์เข้าถึงไฟล์และฐานข้อมูลเว็บไซต์ของคุณเป็นเวลานาน ดังนั้น สแกนเนอร์ระดับ frontend จึงไม่เพียงพอ
2. ลบมัลแวร์
หากเว็บไซต์ของคุณถูกแฮ็ก ให้ทำความสะอาดมัลแวร์โดยไม่สะดวก คุณอาจเห็นอาการแล้ว แต่ไม่ได้ตระหนักว่ามาจากมัลแวร์ หาก Google ยังไม่ได้บัญชีดำเว็บไซต์ของคุณ คุณหลบพ้นได้ และต้องโฟกัสที่การทำความสะอาดมัลแวร์ทันที ใช้ MalCare ทำสิ่งนี้อย่างรวดเร็วและมีประสิทธิภาพ เพื่อให้เว็บไซต์ของคุณกลับมาทำงานปกติเร็วที่สุด
เราไม่แนะนำให้ลองลบมัลแวร์ด้วยตนเอง แฮ็กเกอร์มักเพิ่ม backdoor ที่ซ่อนอยู่ในโค้ดเว็บไซต์ ทำให้แม้มัลแวร์จะถูกตรวจพบและลบ พวกเขาก็ยังสามารถเข้าถึงได้อีกผ่าน backdoor วิธีที่ดีที่สุดในการกำจัดมัลแวร์คือใช้ปลั๊กอินความปลอดภัย
3. เปลี่ยนรหัสผ่านทั้งหมด
ไม่ว่าคุณจะพบมัลแวร์หรือไม่ คุณต้องเปลี่ยนรหัสผ่านทั้งหมด: บัญชีแอดมิน รหัสผ่านฐานข้อมูล ข้อมูลรับรอง SFTP ทุกอย่าง GoDaddy ได้รีเซ็ตรหัสผ่าน SFTP และฐานข้อมูลของคุณแล้ว แต่ดีกว่าที่จะทำอีกครั้ง หากเว็บไซต์ของคุณมีมัลแวร์
นี่เป็นการป้องกันสองเหตุผล: หนึ่ง หากเว็บไซต์ของคุณถูกแฮ็ก นี่เป็นส่วนหนึ่งของรายการตรวจสอบ สอง หากคุณตั้งรหัสผ่าน SFTP เอง โอกาสคือคุณนำรหัสผ่านไปใช้ซ้ำที่อื่น และบัญชีเหล่านั้นก็ถูกขโมยเช่นกัน นี่เป็นขั้นตอนแรกใน รายการตรวจสอบความปลอดภัยหลังถูกแฮ็ก แต่เป็นจุดเริ่มต้นที่ดี จะหยุดไม่ให้ความเสียหายแย่ลง
4. ขอใบรับรอง SSL ใหม่
ในกรณีที่ใบรับรอง SSL ของคุณถูกขโมย GoDaddy จะติดต่อคุณโดยตรง ในกรณีนี้ ดีกว่าที่จะขอ SSL ใหม่ทั้งหมดจาก Certificate Authority อื่น แม้ GoDaddy จะกำลังออกใบรับรองใหม่ แต่เพื่อเร่งกระบวนการ ดีกว่าที่จะจัดการเรื่องนี้ด้วยตัวเอง
ร้านค้าอีคอมเมิร์ซและเว็บไซต์สมาชิก
หากเว็บไซต์ของคุณเป็นร้านค้าอีคอมเมิร์ซหรือเว็บไซต์สมาชิก จะมีความซับซ้อนเพิ่มขึ้น ในกรณีเหล่านี้ คุณเก็บข้อมูลผู้เข้าชม เช่น อีเมลและรหัสผ่านเข้าสู่ระบบ อย่างน้อย อาจเก็บข้อมูลอื่นๆ ด้วย เช่น ข้อมูลระบุตัวตนส่วนบุคคล (PII) ด้านดีคือ คุณน่าจะไม่ได้เก็บรายละเอียดบัตรเครดิต
5. ติดต่อสื่อสารกับผู้ใช้เว็บไซต์ของคุณ
ในกรณีนี้ คุณต้อง ขอให้ผู้ใช้เว็บไซต์รีเซ็ตรหัสผ่าน ด้วย จริงๆ แล้วควรทำทันทีและแจ้งให้พวกเขาทราบ นี่คือการประกาศที่รับผิดชอบ เพราะคุณควรสมมติว่าข้อมูลผู้ใช้ของเว็บไซต์ก็ถูกขโมยเช่นกัน เนื่องจากสิทธิ์เข้าถึงฐานข้อมูลของแฮ็กเกอร์ ในบางกรณี คุณอาจถูกบังคับโดยกฎหมายที่จะทำเช่นนี้
นอกจากนี้ ให้เตือนผู้ใช้ให้ ระวังหลอกลวงแบบฟิชชิง (phishing scams) การหลอกลวงเหล่านี้จะพยายามดึงข้อมูลเพิ่มเติมจากผู้ใช้ของคุณโดยการแปรงตัวเป็นธุรกิจหรือแบรนด์ที่พวกเขไว้วางใจ กฎทั่วไปคือ อย่าคลิกลิงก์ที่ส่งมาผ่านอีเมล
การรั่วไหลข้อมูลน่ากลัว และคุณอาจต้องการย้ายเว็บไซต์ไปโฮสต์อื่น ทิ้งความวุ่นวายนี้ไว้กับ GoDaddy เลือกเว็บโฮสต์อย่างระมัดระวัง ดูจากนโยบายและให้แน่ใจว่าตรงกับความต้องการของคุณ คำถามที่ควรถามโฮสต์ใหม่ ได้แก่: คุณรับรองความปลอดภัยเว็บไซต์อย่างไร ตอบสนองคำถามลูกค้าเร็วแค่ไหน และอื่นๆ การย้ายเว็บไซต์เป็นงานง่ายด้วยปลั๊กอิน MigrateGuru
คุณควรทำอะไร หากเว็บไซต์ของคุณโฮสต์อยู่ที่ GoDaddy แต่คุณไม่ใช่ลูกค้า Managed WordPress?
ตามการยื่นเอกสารให้ SEC (Securities and Exchange Commission) GoDaddy ระบุว่า มีเพียงลูกค้า Managed WordPress และบัญชีผู้ขายต่อ ที่เกี่ยวข้องกับการรั่วไหลข้อมูล ดังนั้น คุณไม่ต้องกังวล แต่ดีกว่า เปลี่ยนรหัสผ่านทั้งหมด ไปในทุกกรณี
หากคุณใช้ ManageWP คุณจะได้รับผลกระทบหรือไม่?
ณ เวลาที่เขียนบทความนี้ GoDaddy ยังไม่ได้ระบุว่าผู้ใช้ ManageWP ได้รับผลกระทบจากเหตุการณ์รั่วไหลข้อมูล อย่างไรก็ตาม สิ่งนี้อาจเปลี่ยนแปลงได้ตามความคืบหน้าของการสืบสวน ดังนั้น เพื่อการปลอดภัย เราแนะนำให้คุณรีเซ็ตรหัสผ่านทั้งหมด
คำถามที่ใหญ่กว่าคือ หากคุณเป็นผู้ใช้ ManageWP และเป็นลูกค้า GoDaddy ปลอดภัยไหมที่จะวางไข่ทั้งหมดในตะกร้าเดียวกัน? หากการรั่วไหลข้อมูล GoDaddy ใหญ่กว่านี้ และแฮ็กเกอร์ลบเว็บไซต์ เช่นเกิดกับ Web Hosting Canada ใน สิงหาคม 2021 คุณจะอยู่ในสถานการณ์แย่เกี่ยวกับการสำรองข้อมูล เพราะเหตุผลนี้ จึงปลอดภัยกว่าที่จะมีผู้ให้บริการสำรองข้อมูลอีกฝ่ายหนึ่ง มันไม่ใช่แนวทางที่ดีที่จะเก็บสำรองข้อมูลบนเซิร์ฟเวอร์เดียวกับเว็บไซต์ของคุณ
มุมมองด้านความปลอดภัยโดยไม่มีอารมณ์
GoDaddy เป็นเป้าหมายหลักของแฮ็กเกอร์ เพียงเพราะขนาดและความนิยมของพวกเขา แม้ระบบใดๆ ก็ไม่ปลอดภัย 100% GoDaddy ควรจะมีมาตรการที่แข็งแกร่งเพื่อปกป้องลูกค้า โดยเฉพาะด้วยขนาดและทรัพยากรที่พวกเขามีจุดที่เราเน้นที่นี่ ไม่ใช่ว่าระบบของพวกเขาถูกบุกโจมตี แต่เป็นที่ใช้เวลา เกิน 2 เดือน ถึงจะค้นพบ พวกเขาควรมีกระบวนการเพื่อตรวจจับการรั่วไหลเร็วกว่านี้มาก นี่คือด้านที่น่ากลัวที่สุดของเหตุการณ์นี้
GoDaddy ผิดที่ไหน และทำไม?
ความรู้สึกทั่วไปเกี่ยวกับ GoDaddy ตอนนี้เป็นเชิงลบมาก และมีความคิดเห็นรุนแรงหลายอย่าง บางส่วนไม่สมควร และนั่นเป็นเพราะความปลอดภัย WordPress ไม่ง่ายที่จะเข้าใจ ถ้าจะพูดตรงๆ: การรั่วไหลข้อมูลทุกครั้งเป็นสิ่งเลวร้าย แต่มักมีระดับความรุนแรงต่างกัน
ปัญหาสองประการเกิดขึ้นจากการสืบสวนของนักวิจัยความปลอดภัย:
GoDaddy กำลังดำเนินการอะไรเพื่อแก้ไขปัญหา?
GoDaddy ได้รีเซ็ตรหัสผ่าน SFTP และฐานข้อมูลสำหรับลูกค้า ดังนั้นทุกเว็บไซต์ควรถูกสแกนหามัลแวร์ และรหัสผ่านอื่นๆ ควรเปลี่ยน นอกจากนี้ GoDaddy กำลังดำเนินการออกใบรับรอง SSL ใหม่สำหรับบัญชีที่ถูกขโมย หากคุณมีใบรับรอง SSL ที่ออกโดย GoDaddy อย่ารอให้พวกเขาแก้ไขปัญหา กรุณาขอใบรับรองใหม่จาก Certificate Authority อื่นทันที
GoDaddy ปลอดภัยไหม? ควรเปลี่ยนโฮสติ้งจาก GoDaddy ไหม?
เหตุการณ์รั่วไหลข้อมูล GoDaddy รุนแรง ไม่ต้องพูดสองครั้ง และควรถูกตรวจพบเร็วกว่านี้มาก อย่างไรก็ตาม คุณควรตัดสินใจนี้จากหลายปัจจัย ไม่ใช่แค่เรื่องนี้เพียงอย่างเดียว
ข้อมูลรับรอง SFTP และฐานข้อมูล มักถูกสร้างโดยอัตโนมัติระหว่างการตั้งค่าเว็บไซต์ และนادرมากที่จะเป็นผู้ใช้ที่สร้างเอง
นี่หมายถึงสองสิ่งที่เกี่ยวข้อง:
ในในที่สุด รหัสผ่านที่เก็บทั้งหมดควรจะถูกแฮช (hashed) แต่ในบางกรณีสิ่งนี้กลายเป็นไม่เป็นไปได้ และเพราะรหัสผ่านที่สร้างอัตโนมัติ นادرมากที่จะถูกใช้ที่อื่น จึงป้องกันอันตรายจริงของข้อมูลรับรองที่รั่วไหล: รหัสผ่านที่ถูกนำไปใช้ซ้ำบนบัญชีอื่น นั่นหมายความว่า แฮ็กเกอร์ไม่สามารถใช้รหัสผ่านเหล่านี้เข้าถึงบัญชีอื่นได้ และความเสียหายจึงถูกจำกัด
ข้อมูลรับรอง SFTP จำเป็นสำหรับงานแอดมินหลายอย่าง: การสำรองข้อมูล การทำความสะอาดฉุกเฉิน การกู้คืนเว็บไซต์ และอื่นๆ — เว้นแต่คุณจะใช้ปลั๊กอินที่เอาความยุ่งยากเหล่านี้ไป ดังนั้น GoDaddy และเว็บโฮสต์ยอดนิยมอื่นๆ จึงทำให้การเข้าถึงข้อมูลรับรอง SFTP ง่ายสำหรับลูกค้า
เช่นเดียวกับข้อมูลรับรองฐานข้อมูล เว็บโฮสต์ให้ความสำคัญกับความสะดวกสบายของลูกค้า จริงๆ แล้ว ไฟล์ wp-config ของคุณก็เก็บข้อมูลรับรองฐานข้อมูลใน plaintext อยู่แล้ว
ข้อสรุปคือ การด่า GoDaddy ทั้งหมดนี้ กำลังโฟกัสที่ปัญหาผิด รหัสผ่าน plaintext ไม่ใช่ปัญหา แต่เป็นการขาดกระบวนการตรวจจับการรั่วไหลข้อมูล เว็บโฮสต์นادرมากที่จะเป็นสาเหตุของการถูกแฮ็กเว็บไซต์ ดังนั้นนี่เป็นเหตุการณ์ผิดปกติ มันเป็นตำนานว่าเว็บโฮสต์เป็นจุดเข้าของมัลแวร์สำหรับเว็บไซต์
เรื่องภัยคุกคามจากฟิชชิง (Phishing) เป็นอย่างไร?
หากอีเมลของคุณถูกขโมย ให้ระวังการหลอกลวงแบบฟิชชิงที่อาจเกิดขึ้น หากคุณมีร้านค้าอีคอมเมิร์ซหรือเว็บไซต์สมาชิกที่โฮสต์กับ GoDaddy ให้เตือนผู้ใช้เว็บไซต์ของคุณให้ระวังฟิชชิง และอย่าคลิกลิงก์ที่ส่งมาผ่านอีเมล
ฟิชชิงเป็นประเภทของการโจมตีทางสังคมวิศวกรรม ที่หลอกให้คนเปิดเผยข้อมูลให้แฮ็กเกอร์ แฮ็กเกอร์ใช้แบรนด์ที่ไว้วางใจได้เพื่อดึงข้อมูลนี้ การหลอกลวงมักมีสองส่วน: อีเมลพร้อมลิงก์ปลอม และหน้าเว็บปลอม (spoofed page) พร้อมฟอร์มเก็บข้อมูล
ฉันควรทำอะไรเพื่อปกป้องเว็บไซต์ของฉัน?
มีบางสิ่งที่คุณสามารถทำเพื่อปกป้องเว็บไซต์ ไม่ว่าคุณจะใช้เว็บโฮสต์ไหน เว็บโฮสต์ที่ดีมีความสำคัญจากมุมมองความปลอดภัย แต่เพียงบางส่วน ส่วนใหญ่ของความรับผิดชอบอยู่ที่คุณ เจ้าของเว็บไซต์
นี่คือสิ่งที่คุณสามารถทำได้ทันที:
WordPress ปลอดภัยไหม?
ทุกครั้งที่มีการรั่วไหลข้อมูลในระบบนิเวศ WordPress คำถามเก่าๆ นี้จะกลับมาอีกครั้ง ทุกคนมีสิทธิในความคิดเห็นของตน แต่ข้อเท็จจริงคือ WordPress ปลอดภัยเท่าที่ระบบจะเป็นไปได้ มันเป็นเป้าหมายของแฮ็กเกอร์เพราะความนิยมที่แพร่หลาย และจริงๆ แล้ว มันได้พัฒนาไปเพื่อแก้ไขปัญหาความปลอดภัยหลายอย่างที่ยังคงอยู่กับ CMS อื่นๆ
ในฐานะเจ้าของเว็บไซต์ คุณต้องทำหน้าที่ของคุณ (due diligence) ให้แน่ใจว่า core และปลั๊กอินและธีมทั้งหมดของคุณ เป็นเวอร์ชันล่าสุด
