Sådan bliver websteder hacket

Modul 7: Sikkerhed · Læsetid: 8 minutter

Læringsmål: Efter denne lektion kan du realistisk forklare, hvordan WordPress-websteder oftest bliver hacket, hvorfor også små websteder er et mål, og hvad indbrudstyve vil bruge dem til.

Nøglebegreber: sårbarhed, hul i plugin eller tema, automatiske scanninger, credential stuffing, brute force, nulled software, inficeret computer, konsekvenser (spam, omdirigering, phishing, malware), angrebsflade

"Mit websted er for lille til at være interessant"

Det er den mest udbredte misforståelse. Næsten intet WordPress-hack er rettet mod ét bestemt websted. Indbrudstyve bruger programmer, der automatisk gennemgår tusindvis af websteder i timen og leder efter én ting: en kendt svaghed. Finder programmet den, bryder det ind, uanset om webstedet tilhører en multinational virksomhed eller den lokale fodboldklub.

Det, de vil have, er ikke dit websted, men hvad dit websted kan:

• Spam og søgemaskinemisbrug: tusindvis af skjulte sider eller links til medicin, spil eller falske webshops, der nyder godt af dit domænes gode omdømme hos Google.
• Omdirigering: besøgende (ofte kun dem fra Google eller på en mobiltelefon) bliver sendt til et falsk websted eller en svindelside. Du ser intet, fordi du selv kommer ind via et bogmærke.
• Phishing: en falsk login-side fra en bank eller et leveringsfirma, gemt i din uploads-mappe, med dit domænenavn i linket.
• Spredning af malware til besøgende.
• Afsendelse af mail: din server sender spam, og derefter kommer din egen mail ikke længere frem.
• Regnekraft: din pakke bliver brugt til angreb på andre websteder eller til at mine kryptovaluta.
• Data: i en webshop eller et medlemswebsted, dine kunders oplysninger.

Indgang 1: et hul i et plugin eller tema

Dette er langt den vigtigste. Ifølge årsrapporten fra Patchstack, en virksomhed der holder styr på WordPress-sårbarheder, blev der i 2024 fundet 7.966 nye sårbarheder i WordPress-økosystemet. 96% sad i plugins, 4% i temaer, og i selve WordPress kun syv. De fleste huller kan ikke bare udnyttes, men nogle kan, og de bliver scannet massivt inden for timer eller dage efter offentliggørelsen.

Mønstret er næsten altid det samme:

1. Der findes et hul i version 3.2 af et populært plugin.
2. Udvikleren udgiver version 3.2.1 med en rettelse. Hullet bliver offentligt kendt.
3. Inden for kort tid scanner programmer internettet for websteder med version 3.2 eller ældre.
4. Dem, der endnu ikke har opdateret, bliver brudt ind i.

Faren ligger altså ikke i et hemmeligt hul, som ingen kender, men i et kendt hul, som der allerede findes en opdatering til, men som ikke er installeret. Derfor er opdateringer (lektion 7.2) den allervigtigste foranstaltning, og du bør fjerne det, du ikke bruger (lektion 5.4): hvert plugin, der ligger der, også deaktiveret, øger din angrebsflade.

Et særligt tilfælde er forladte plugins: udvikleren er stoppet, der kommer ikke flere rettelser. Og nulled software (lektion 5.3): en stjålet kopi af et betalt plugin, ofte med en indbygget bagdør.

Indgang 2: adgangskoder

Den anden store indgang er at logge ind med en gyldig adgangskode:

• Credential stuffing: ved et datalæk hos en anden tjeneste er millioner af kombinationer af e-mailadresse og adgangskode blevet lækket. Programmer prøver disse kombinationer på alle mulige websteder, herunder WordPress-login-sider. Bruger du samme adgangskode som til den lækkede tjeneste, er de inde.
• Brute force: et program prøver simpelthen rigtig mange adgangskoder, ofte med hyppigt brugte brugernavne som admin. Med en lang, unik adgangskode er det udsigtsløst, men det koster din server regnekraft.
• Phishing: en falsk mail, "din WordPress skal opdateres, log ind her", med et link til en falsk login-side.

Lektion 7.3 handler om forsvaret: adgangskodeadministrator, totrinsbekræftelse og begrænsning af login-forsøg.

Indgang 3: alt omkring WordPress

Ikke alle hacks starter i WordPress:

• En inficeret computer tilhørende dig eller din webudvikler, med et program der stjæler adgangskoder, for eksempel dem der er gemt i et FTP-program.
• Almindelig FTP uden kryptering, på et offentligt netværk.
• Et andet websted i samme pakke: en glemt gammel testinstallation, en gammel Joomla i en undermappe. Alle websteder i én pakke deler som regel samme bruger på serveren. Bliver det gamle websted hacket, kan indbrudstyven også komme til din WordPress.
• En lækket databaseadgangskode, for eksempel via en kopi af wp-config.php i webmappen (lektion 1.3).
• Formularer uden kontrol, der misbruges til at sende spam.

Hos en god hostingudbyder er din pakke afskærmet fra andre kunders pakker på samme server (på DirectAdmin-servere med CloudLinux for eksempel med CageFS). Hvad der sker inden i din egen pakke, er dog din egen sag.

Hvad du bemærker (og hvad du ikke gør)

Et godt udført hack bemærker du i første omgang ikke. Indbrudstyve vil gerne bruge dit websted så længe som muligt. Signaler (lektion 7.5 går i dybden med det):

• Google melder "Dette websted er muligvis blevet hacket", eller du ser mærkelige sider fra dit domæne i søgeresultaterne (prøv at søge på site:example.com);
• besøgende melder, at de ender et andet sted;
• der findes administratorer eller filer, du ikke kender;
• din hostingudbyder eller en malware-scanner melder noget;
• din mail kommer pludselig ikke frem længere, eller din pakke er fuld eller langsom.

Forsvar i lag

Ingen enkelt foranstaltning er vandtæt. Sikkerhed er en opbygning af lag, så en fejl i ét lag ikke straks åbner alt:

1. Opdatering (lektion 7.2): lukker de kendte huller. Langt det vigtigste.
2. Få komponenter (lektion 5.3 og 5.4): mindre at opdatere, færre huller.
3. Afskærmning af login (lektion 7.3): lange unikke adgangskoder, totrinsbekræftelse, mindst mulige rettigheder (lektion 3.3).
4. Hærdning (lektion 7.4): rettigheder, indstillinger og headers der begrænser skade.
5. Backup (lektion 8.1): hvis det alligevel går galt, kan du gå tilbage.
6. Vide hvad du skal gøre, hvis det går galt (lektion 7.5).

Opsummering

• Næsten alle hacks er automatiske og ikke målrettede; små websteder er lige så meget i søgelyset.
• Indbrudstyve vil have det, dit websted kan: spam, omdirigering, phishing, mail, regnekraft, data.
• Den største indgang er et kendt hul i et plugin eller tema, som der allerede fandtes en opdatering til (i 2024 sad 96% af de nye sårbarheder i plugins).
• Den anden indgang er adgangskoder: genbrugte, gættede eller fisket.
• Også en inficeret computer, almindelig FTP eller et glemt gammelt websted i samme pakke kan være indgangen. Forsvar dig i lag.

Quiz

Opgave

Opgave D7.1: Din egen risikoliste. Lav en liste over alt i din hostingpakke, der kan være en indgang: hver WordPress-installation (også test- og gamle websteder), hvert plugin og tema (også inaktive), hver konto med administratorrettigheder (WordPress, FTP, hostingpanelet) og de computere, der logges ind fra. Skriv ved hvert punkt: hvornår det sidst blev opdateret, om det stadig er nødvendigt (ja/nej), og hvem der er ansvarlig. Marker hvilke tre ting du rydder op i eller opdaterer i denne uge, og noter hvorfor netop de.

Læs mere

Disse artikler beskriver trinnene i WebOkés kontrolpaneler; i andre paneler fungerer det på lignende vis.

• Hjælp! Mit websted er blevet hacket. Hvordan løser eller forebygger jeg det?
• DirectAdmin vejledning 18.2: Min hjemmeside er hacket: trin for trin plan
• State of WordPress Security in 2025 (Patchstack, engelsk): https://patchstack.com/whitepaper/state-of-wordpress-security-in-2025/
• Hærdning af WordPress (developer.wordpress.org, engelsk): https://developer.wordpress.org/advanced-administration/security/hardening/