Kontrola zraniteľností pluginov a tém

Väčšina napadnutí WordPressu nezačína prelomeným heslom, ale známou chybou v plugine alebo téme, ktorú autor už dávno opravil — len web ešte beží na starej verzii. Takéto chyby sú verejne zapísané a útočníci si podľa nich hľadajú weby, ktoré ich stále majú.

Site Manager preto porovnáva, aké pluginy a témy (a v akej verzii) máte nainštalované, s databázou známych zraniteľností Wordfence Intelligence. Keď nájde zhodu, povie vám to — aj s tým, ktorá verzia chybu opravuje.

Kontrolu nájdete v Site Manager → Dashboard → Bezpečnosť → Vuln Scanner.

Pojmy, ktoré budete v kontrole vidieť

• Zraniteľnosť — známa bezpečnostná chyba v konkrétnych verziách pluginu alebo témy. Nie je to vírus na vašom webe; je to diera, cez ktorú sa dá na web dostať.
• CVE — medzinárodné označenie zraniteľnosti (napríklad CVE-2026-12345). Podľa neho si chybu dohľadáte kdekoľvek.
• CVSS — skóre vážnosti od 0 do 10. Site Manager ho zobrazuje so slovným stupňom: 9 a viac Critical, 7 až 8,9 High, 4 až 6,9 Medium, menej Low. 7 a viac považujeme za vážnu zraniteľnosť — tú treba riešiť hneď.
• API kľúč — dlhý tajný reťazec, ktorým sa Site Manager preukazuje službe Wordfence pri sťahovaní databázy. Niečo ako heslo pre programy.

Dva spôsoby, ako kontrola beží

Záleží na tom, či sa o web stará agentúra.

Web bez agentúry si kontrolu robí sám: stiahne si databázu zraniteľností na vlastný API kľúč Wordfence a porovnáva ju s tým, čo máte nainštalované.

Web pod agentúrou — ak je spárovaný s konzolou agentúry (Branike Remote Manager), zraniteľnosti vyhodnocuje jej konzola. Databázu si sťahuje raz pre všetky svoje weby, na svoj účet, a na váš web pošle hotový výsledok. Web vtedy nepotrebuje vlastný kľúč ani lokálnu databázu a nič nesťahuje. Ako web s agentúrou spárovať, opisuje návod Agentúra (BCC): ako web spárovať s konzolou a aký prístup zvoliť.

Nastavenie na webe bez agentúry

1. Vytvorte si bezplatný účet na wordfence.com.
2. Otvorte stránku wordfence.com/account/integrations (odkaz je v Site Manageri priamo pri poli na kľúč).
3. Vygenerujte si tam API kľúč a skopírujte ho.
4. V Site Manageri vložte kľúč do poľa „Wordfence Intelligence API kľúč“ a kliknite „Uložiť kľúč“.
5. Kliknite „Aktualizovať DB“. Stiahne sa databáza zraniteľností; môže to trvať minútu či dve.
6. Po stiahnutí kliknite „Spustiť scan“.

Pozor: API kľúč sa ukladá nešifrovaný v databáze webu. Chráňte si preto prístup do administrácie — silné heslo a zapnuté dvojfaktorové overenie. Kľúč odstránite tlačidlom „Odstrániť kľúč“; prázdne pole ho nezmaže.

Ak máte na webe aj bezpečnostný plugin Wordfence, Site Manager vás na to upozorní. Oba používajú tú istú databázu, Site Manager ju len ukazuje vo svojom prehľade spolu so skóre.

Automatická denná kontrola

Raz denne Site Manager sám: stiahne aktuálnu databázu, preskenuje pluginy a témy a pri náleze pošle e-mail. Nemusíte na nič myslieť — o novej zraniteľnosti sa dozviete z e-mailu, nie z novín.

• Zapína sa prepínačom „Zapnúť automatickú dennú kontrolu“ a je predvolene zapnutá. Pri prepínači vidíte čas ďalšieho behu.
• Čas denného behu si môžete nastaviť (napríklad 02:30). Platí v časovej zóne webu. Prázdny čas znamená „hodinu po zapnutí“.
• Beží cez WP-Cron — plánovač WordPressu, ktorý sa spúšťa pri návštevách webu. Na webe s malou návštevnosťou sa beh naplánovaný na 02:00 môže spustiť až ráno.
• Ak spravujete viac webov jedným API kľúčom, rozložte im časy — Wordfence dovoľuje na jeden kľúč len obmedzený počet stiahnutí.

Keď Wordfence odmietne požiadavku pre limit (chyba 429), Site Manager si zapamätá, dokedy má čakať, a dovtedy na Wordfence vôbec nesiahne. Na stránke uvidíte, dokedy čaká. Kontrola medzitým beží z poslednej stiahnutej databázy — nemusíte nič robiť.

Bez API kľúča sa databáza sama neaktualizuje a kontrola beží len z poslednej stiahnutej databázy. Stránka vás na to upozorní.

Keď web stráži agentúra

Keď výsledok dodala agentúrna konzola, na stránke Vuln Scanner uvidíte:

• rámček „Výsledok vyhodnotila agentúrna konzola“ s adresou konzoly a časom vyhodnotenia,
• pri API kľúči štítok „Nepotrebný — dáta dodáva agentúra“,
• pri databáze „Vyhodnocuje agentúra“,
• vetu, že kým chodia výsledky od agentúry, denný beh na tomto webe nič nesťahuje ani neskenuje.

Vlastný kľúč môžete mať aj tak — použije sa len vtedy, keď výsledky od agentúry prestanú prichádzať.

Výsledok od agentúry platí 3 dni. Konzola ho posiela každý deň, aj keď nič nenašla — web tak vie, že dohľad žije. Keď nový výsledok dlhšie nepríde (agentúra web odpojila, konzola nebeží, web bol nedostupný), stane sa toto:

• rámček sčervenie a napíše „Bezpečnostné dáta sú staré X dní — výsledok NEMOŽNO považovať za aktuálny“,
• skóre „Stav webu“ v pilieri Bezpečnosť klesne o 20 bodov s poznámkou „bezpečnostné dáta staré X dní“,
• ak má web vlastný API kľúč, denná kontrola sa znova rozbehne na webe sama.

Prečo tak prísne: starý výsledok „bez nálezu“ by sa tváril ako dobrá správa, hoci o nových zraniteľnostiach nikto nevie. Web si má vedieť pomôcť sám.

Aby agentúra smela výsledok doručiť, potrebuje token s prístupom „Plný prístup“ alebo „Čítanie + bezpečnostné výsledky“. Token „Iba čítanie“ výsledok neprijme — agentúra ho potom vidí len vo svojej konzole.

Site Manager výsledku od agentúry slepo neverí. Prijme len nálezy pre pluginy a témy, ktoré na webe naozaj sú, a názov aj verziu berie z vlastného webu, nie zo správy. Odkazy pri nálezoch pripustí len na overené zdroje (Wordfence, databázy CVE).

Čo uvidíte vo výsledku

Pri každom zraniteľnom plugine alebo téme:

• názov, nainštalovanú verziu a počet nájdených zraniteľností,
• pri každej zraniteľnosti jej názov, označenie CVE a skóre CVSS so stupňom (ak ho záznam obsahuje),
• „Fixnuté v: …“ — verziu, ktorá chybu opravuje, a odkaz na zoznam pluginov, kde aktualizáciu spustíte,
• alebo „⚠ Bez opravy“ — autor chybu zatiaľ neopravil,
• odkazy na podrobný popis zraniteľnosti.

Keď nič nenašla, uvidíte „Žiadne zraniteľnosti nenájdené“ s počtom skontrolovaných pluginov a tém a časom kontroly.

Čo s nálezom urobiť

• Je oprava k dispozícii → aktualizujte plugin alebo tému. Pri dôležitom webe si najprv spravte zálohu; Site Manager si pred aktualizáciou pluginu aj tak sám uloží snímok databázy.
• Oprava nie je → zvážte, či plugin naozaj potrebujete. Kým oprava nevyjde, je bezpečnejšie ho vypnúť alebo nahradiť.
• Nález je pri neaktívnom plugine → aj vypnutý plugin so známou chybou je na serveri. Ak ho nepoužívate, zmažte ho.
• Vážna zraniteľnosť (CVSS 7 a viac) → riešte hneď, nie „cez víkend“.

E-mail pri náleze

Pri náleze príde e-mail na administrátorský e-mail webu (WordPress → Nastavenia → Všeobecné). Predmet znie „[Branike] N zraniteľností nájdených na …“ a v tele je zoznam zraniteľných pluginov a tém s odkazom priamo na Vuln Scanner.

E-mail chodí rovnako pri vlastnej kontrole aj pri výsledku od agentúry. O tom istom náleze príde najviac raz za 24 hodín — žiadny spam do schránky. Keď pribudne nový zraniteľný plugin alebo téma, príde nový e-mail pri najbližšej kontrole.

Ako to ovplyvní skóre „Stav webu“

Zraniteľnosti patria do piliera Bezpečnosť, ktorý má v skóre najväčšiu váhu. Každá vážna zraniteľnosť (CVSS 7 a viac) znižuje pilier o 20 bodov, spolu najviac o 60. Menej vážne zraniteľnosti skóre neznižujú, ale vo výsledku ich vidíte. Starý výsledok od agentúry (viac ako 3 dni) znižuje pilier o ďalších 20 bodov. Viac o skóre v článku Skóre „Stav webu“ a čo znamená.

Licencia údajov

Údaje o zraniteľnostiach pochádzajú z Wordfence Intelligence © Defiant Inc., pri označeniach CVE aj od MITRE. Podmienky Wordfence dovoľujú údaje zobrazovať len spolu s copyrightom a odkazom na licenciu — preto je pod nálezmi vždy uvedený zdroj.

Čo kontrola zraniteľností nerobí

• Nehľadá škodlivý kód. Na to je samostatná záložka Bezpečnosť → Malware. Kontrola zraniteľností hľadá známe chyby vo verziách, nie infekciu.
• Nevie o chybách, ktoré nikto nezverejnil. Vidí len to, čo je v databáze Wordfence.
• Sama nič neaktualizuje. Povie, čo treba spraviť — aktualizáciu spustíte vy alebo vaša agentúra.
• Nie je okamžitá. Nová zraniteľnosť sa na vašom webe prejaví pri najbližšej dennej kontrole.

Časté otázky

Musím platiť za Wordfence? Nie. API kľúč pre databázu zraniteľností je k bezplatnému účtu.

Web spravuje agentúra. Mám si aj tak zadať vlastný kľúč? Nemusíte. Hodí sa ako poistka: keď výsledky od agentúry prestanú chodiť, web sa po 3 dňoch začne kontrolovať sám.

Kontrola hlási zraniteľnosť, hoci som plugin už aktualizoval. Spustite scan znova (alebo počkajte na dennú kontrolu). Pri webe pod agentúrou požiadajte agentúru o nové prehľadanie — výsledok sa prepočíta z aktuálnych verzií.

Prečo vidím „Bezpečnostné dáta sú staré“? Agentúra vám dlhšie ako 3 dni neposlala nový výsledok. Skontrolujte v Bezpečnosť → Agentúra (BCC), či je spojenie aktívne, prípadne sa ozvite agentúre.

Denná kontrola nebeží. Skontrolujte, či je prepínač zapnutý a či máte zadaný kľúč. Na webe s malou návštevnosťou sa plánovač spúšťa až pri návšteve — spoľahlivejší beh zabezpečí Branike Task Runner.

Súvisiace návody

• Kompletný sprievodca: Branike Site Manager (bezpečnosť a zálohy)
• Agentúra (BCC): ako web spárovať s konzolou a aký prístup zvoliť
• Skóre „Stav webu“ a čo znamená
• Čo keď aktualizácia zlyhá?
• Kompletný sprievodca: Branike Remote Manager (agentúry)
• Site Manager — prehľad
• Váš web v telefóne: Branike aplikácia