হ্যাকারদের সম্প্রতি লক্ষ্য ৮টি জনপ্রিয় ওয়ার্ডপ্রেস প্লাগইন

চিন্তিত যে কীভাবে আপনার ওয়ার্ডপ্রেস প্লাগইনের ভার্নারেবিলিটি সাইটকে ঝুঁকিতে ফেলছে?

জেনে রাখুন: ঝুঁকিপূর্ণ প্লাগইন হচ্ছে ওয়ার্ডপ্রেস সাইট হ্যাক হওয়ার সবচেয়ে বড় কারণ। আসলে ৫৫.৯% ওয়ার্ডপ্রেস আক্রমণ ঝুঁকিপূর্ণ প্লাগইন kvůli।

তাহলে কি প্লাগইন ব্যবহার বন্ধ করবেন? ওয়ার্ডপ্রেস সাইট বিল্ড ও রান করা প্লাগইন ছাড়া প্রায় অসম্ভব, কারণ প্লাগইন ফাংশনালিটি ও ফিচার যোগ করে। خوشবর হলো প্লাগইন ব্যবহার করে সাইট সুরক্ষিত রাখার উপায় আছে। ডেভেলপাররা প্লাগইনে ভার্নারেবিলিটি পেলে সেটা ফিক্স করে আপডেটেড ভার্সন রিলিজ করে। আপনি আপডেট করলে সেটা সুরক্ষিত। কিন্তু মিলিয়ন মিলিয়ন ইউজার আপডেট দেরি করে, ফলে সাইট হ্যাকারের কাছে ঝুঁকিপূর্ণ থাকে।

সাইট হ্যাক হলে হ্যাকাররা সংবেদনশীল ডেটা চুরি করতে পারে, অনিচ্ছাকৃত অ্যাড চালাতে পারে, সাইট ডিফেস করতে পারে। হ্যাকের ফলাফল: অ্যাডওয়ার্ডস অ্যাকাউন্ট সাসপেনশন, ভিজিটর/কাস্টমার/রেভিনিউ লস। তাই ঝুঁকিপূর্ণ প্লাগইন ও তাদের সিকিউরিটি ইস্যু জানা অত্যন্ত গুরুত্বপূর্ণ। এই নিবন্ধে কিছু সবচেয়ে ঝুঁকিপূর্ণ ওয়ার্ডপ্রেস প্লাগইন দেখানো হয়েছে।

একটি ওয়ার্ডপ্রেস প্লাগইন কীভাবে ঝুঁকিপূর্ণ হয়?

জেনে রাখুন: থার্ড-পার্টি ডেভেলপাররা ওয়ার্ডপ্রেস প্লাগইন তৈরি করে, ওয়ার্ডপ্রেস কোর টিম নয়। অধিকাংশ প্লাগইন ওয়ার্ডপ্রেস রিপোজিটরিতে থাকে, কিন্তু CodeCanyon বা প্লাগইন-এর নিজের ওয়েবসাইটেও পাওয়া যায়।

৫০,০০০+ ওয়ার্ডপ্রেস প্লাগইন আছে এবং প্রতিদিন নতুন তৈরি হচ্ছে। ডেভেলপাররা (বিশেষ করে প্রিমিয়ামগুলো) তাদের প্লাগইন ভালোভাবে মেইনটেইন করে যাতে সিকিউর থাকে। এগুলো নির্দিষ্ট গাইডলাইন মেনে চলে যাতে ইউজারদের জন্য সেফ ও সিকিউর হয়। কিন্তু ডেভেলপাররা প্রোডাক্ট বাড়াতে থাকেন এবং কখনো সময়ের অভাবে নতুন ফিচার রিলিজ করতে হয়। ডেভেলপমেন্টের সময় কিছু সিকিউরিটি ফ্ল ডাকখায় যেতে পারে, ফলে প্রোডাক্ট ঝুঁকিপূর্ণ হয়।

হ্যাকাররা ভার্নারেবিলিটি পেলে এক্সপ্লอยট করে নিচের হ্যাকগুলো করে:

• দর্শকদের অনজান সাইটে রিডাইরেক্ট করা
• স্প্যাম অ্যাড ও কন্টেন্ট ইনজেক্ট করা
• wp-feed.php ম্যালওয়্যার ইনস্টল করে আক্রমণ voortরক্ষা করা
• রোগ অ্যাডমিন অ্যাকাউন্ট তৈরি করা
• সার্ভার রিসোর্স ব্যবহার করে DDoS আক্রমণ ও স্প্যাম ইমেইল পাঠানো

এই হ্যাক আক্রমণ সাইট খুব ধীর করে দেয়, SEO র‍্যাঙ্কিং নামায়। ব্যবসা, রেভিনিউ ও রেপুটেশনও 위험ে পড়ে। ঝুঁকিপূর্ণ প্লাগইন হচ্ছে অধিকাংশ হ্যাকের মূল কারণ, তাই কী প্লাগইনগুলো সবচেয়ে ঝুঁকিপূর্ণ এবং কী ফিক্স উপলব্ধ সেটা জানা গুরুত্বপূর্ণ।

নোট: আপনার ওয়ার্ডপ্রেস সাইটে এই প্লাগইনগুলো থেকে কোনোটি ব্যবহার করছেন, তবে আমরা দৃঢ়ভাবে পরামর্শ দিই অবিলম্বে লেটেস্ট ভার্সনে আপডেট করুন যেকোনো হ্যাক আক্রমণ এড়াতে।

ঝুঁকিপূর্ণ প্লাগইন হ্যাকের কারণ হতে পারে। প্লাগইন নিয়মিত আপডেট করুন আক্রমণ এড়াতে এবং আপনার ওয়ার্ডপ্রেস সাইট রক্ষা করতে। Click to Tweet

সাম্প্রতিকভাবে হ্যাকারদের আক্রমণের শিকার ৮টি ঝুঁকিপূর্ণ ওয়ার্ডপ্রেস প্লাগইন

অনেক জনপ্রিয় প্লাগইন অতীতে আক্রমণের শিকার হয়েছে—NextGen Gallery, Yoast SEO, Ninja Forms। এখানে আমরা ফোকাস করব সাম্প্রতিকভাবে হ্যাকাররা যেসব প্লাগইন এক্সপ্লอยট করেছে।

১. Duplicator – ওয়ার্ডপ্রেস মাইগ্রেশন প্লাগইন

Duplicator মূলত মাইগ্রেশন প্লাগইন, ব্যাকআপের জন্যও ব্যবহার হয়। ইউজার সাইটের ব্যাকআপ তৈরি করে ডাউনলোড করতে পারে, ক্লোন বা মাইগ্রেট করতে পারে ভিন্ন ডোমেইন/হোস্টে। ১ মিলিয়ন+ এক্টিভ ইনস্টল সহ খুব জনপ্রিয়।

সাম্প্রতিক সময়ে এই প্লাগইনে 'অ্যারবিট্রারি ফাইল ডাউনলোড' ভার্নারেবিলিটি পাওয়া গেল। এর মাধ্যমে আক্রমণকারী প্লাগইন ইনস্টল করা সাইটের কন্টেন্ট এক্সপোর্ট করতে পারত, গোপন ফাইল ও ডাটাবেস ক্রেডেনশিয়াল চুরি করতে পারত। ফলে সাইটে ব্রেক ইন করে নিয়ন্ত্রণ নিতে ও আক্রমণ voortরক্ষা করতে পারত।

ডেভেলপাররা ভার্নারেবিলিটি সনাক্ত করে ফেব্রুয়ারি ২০২০-এ Duplicator ভার্সন ১.৩.২৮ এবং Duplicator Pro ভার্সন ৩.৮.৭১-এ ক্রিটিক্যাল সিকিউরিটি আপডেট রিলিজ করল। সিকিউরিটি এক্সপার্টরা বলে, ৫০০,০০০+ ইউজার এখনও ঝুঁকিপূর্ণ ভার্সন ব্যবহার করছেন এবং আপডেট করেননি।

২. ThemeGrill Demo Importer

ThemeGrill ফ্রি ও প্রিমিয়াম রেসপনসিভ থিম অফার করে প্রফেশনাল সাইট বানাতে। ThemeGrill Demo Importer প্লাগইন দিয়ে ইউজার ThemeGrill-এর অফিসিয়াল থিম সরাসরি ড্যাশবোর্ডে ইম্পোর্ট করতে পারে। কন্টেন্ট, উইজেট, থিম সেটিংসও ইম্পোর্ট হয়। ২০০,০০০+ এক্টিভ ইনস্টল।

তবে এই প্লাগইনে একটি ভার্নারেবিলিটি ছিল যাতে হ্যাকার অ্যাডমিন অ্যাকাউন্ট নিয়ন্ত্রণ করতে পারত। হ্যাকার আপনাকে আপনার সাইট থেকে লক আউট করতে পারত, পুরো সাইটই মুছে ফেলতে পারত।

ThemeGrill ডেভেলপাররা ফেব্রুয়ারি ২০২০-এ ভার্সন ১.৬.৩-এ প্যাচ রিলিজ করল।

৩. Profile Builder Plugin

Profile Builder দিয়ে কাস্টমারদের আপনার সাইটে অ্যাকাউন্ট তৈরি করার অপশন দিতে পারেন। ফ্রন্টএন্ড ইউজার লগইন ও রেজিস্ট্রেশন ফর্ম বানাতে পারেন। কাস্টমারদের প্রোফাইল পেরসোনালাইজ করার জন্য প্রোফাইল ফর্ম রয়েছে।

প্লাগইন তিনটি ভেরিয়েন্টে রয়েছে—Free, Pro, Hobbyist। Pro-এ অনলিমিটেড সাইটে ব্যবহার করা যায়, Hobbyist-এ সিংগেল সাইট লাইসেন্স। ফ্রি ভার্সনে ৫০,০০০+ এক্টিভ ইনস্টল, Pro ও Hobbyist মিলিয়ে ১৫,০০০ ইনস্টল।

ফেব্রুয়ারি ২০২০-এ একটি ক্রিটিক্যাল ভার্নারেবিলিটি পাওয়া গেল যা সব ভেরিয়েন্টকে প্রভাবিত করল। প্লাগইনের একটি বাগের কারণে হ্যাকার অনুমতিহীন অ্যাডমিন অ্যাকাউন্ট রেজিস্টার করতে পারত। ফলে রোগ অ্যাডমিন অ্যাকাউন্ট তৈরি করে সাইটের পূর্ণ নিয়ন্ত্রণ নিত। এই ভার্নারেবিলিটি ৩.১.০ ভার্সন পর্যন্ত প্রভাবিত করল। ভার্সন ৩.১.১-এ সিকিউরিটি প্যাচ রিলিজ হয়েছে।

৪. Flexible Checkout Fields For WooCommerce

এই WooCommerce অ্যাড-অন প্লাগইন দিয়ে ইউজার চেকআউট ফিল্ড কাস্টমাইজ করতে পারে। ডিফল্ট ফিল্ড এডিট করে নিজস্ব লেবেল যোগ করতে পারে। ২০,০০০+ এক্টিভ ইনস্টল। ডেভেলপাররা খুব ভালোভাবে মেইনটেইন ও আপডেট করেন।

প্লাগইনে একটি ভার্নারেবিলিটি ছিল যেটা হ্যাকাররা এক্টিভলি এক্সপ্লอยট করত। এর মাধ্যমে হ্যাকার ম্যালিশিয়াস কোড ইনজেক্ট করত। ফলে রোগ WP অ্যাডমিন অ্যাকাউন্ট তৈরি, ডেটা চুরি, অ্যাডমিনকে লক আউট করা—সব কিছু সম্ভব হত।

ডেভেলপাররা দ্রুত ভার্সন ২.৩.২ এবং ২.৩.৩-এ সিকিউরিটি প্যাচ রিলিজ করল (২৫ ফেব্রুয়ারি ২০২০)। তখন থেকে প্লাগইন অনেকবার আপডেট হয়েছে। লেটেস্ট ভার্সনে আপডেট করার দৃঢ় পরামর্শ।

৫. ThemeREX Addons

ThemeREX Addons প্লাগইন ThemeREX-এর বিভিন্ন থিমের কম্প্যানিয়ন প্লাগইন হিসেবে ডিজাইন করা। এই অ্যাড-অনে অনেক ফিচার ও উইজেট রয়েছে যেগুলো তাদের থিমের ফাংশনালিটি বাড়ায়। ৪৪,০০০+ ওয়ার্ডপ্রেস সাইটে ইনস্টল।

হ্যাকাররা প্লাগইনে ভার্নারেবিলিটি খুঁজে বের করে আক্রমণ শুরু করল। এখানেও হ্যাকাররা প্লাগইনের দুর্বলতা এক্সপ্লอยট করে নতুন অ্যাডমিন ইউজার অ্যাকাউন্ট তৈরি করত।

ThemeREX দ্রুত আপডেট রিলিজ করল, কিন্তু ThemeREX Addons আপডেট করা একটু জটিল। প্লাগইনটি ওয়ার্ডপ্রেস রিপোজিটরিতে নেই, তাই ওয়ার্ডপ্রেস ড্যাশবোর্ডে আপডেট নোটিফিকেশন আসবে না। ThemeREX নিউজলেটার সাবস্ক্রাইব করতে হয় আপডেটের খবর পেতে। প্লাগইনটি অনেক থিমের সাথে বান্ডেলড থাকে। অনেক সাইট মালিক ThemeREX থিম ইনস্টল করলেও নাও জানেন যে এই প্লাগইনটি প্যাকেজের অংশ হিসেবে আটোমেটিক্যালি ইনস্টল হয়েছে।

ThemeREX থিম ব্যবহার করলে লেটেস্ট ভার্সনে আপডেট করার দৃঢ় পরামর্শ। ThemeREX অ্যাকাউন্ট থেকে প্লাগইন আপডেট করুন। না পারলে ThemeREX Updater প্লাগইন ইনস্টল করতে হয়ে পারে। আরও জানতে ThemeREX-এ যোগাযোগ করুন।

৬. Async JavaScript

Async JavaScript প্লাগইন পেজ লোডিং টাইম কমায়, পেজ স্পিড ও ইউজার এক্সপেরিয়েন্স বাড়ায়। ওয়ার্ডপ্রেস সাইট PHP, CSS, JavaScript-এ বানানো। এই প্লাগইন জাভাস্ক্রিপ্ট লোডিং অপ্টিমাইজ করে। ১০০,০০০+ এক্টিভ ইনস্টল।

প্লাগইনে একটি ভার্নারেবিলিটি ছিল যাতে হ্যাকার রিমোটলি আক্রমণ চালাতে পারত। পড়ুন: ক্রস-সাইট স্ক্রিপ্টিং (XSS) আক্রমণ। এর মাধ্যমে হ্যাকার সংবেদনশীল তথ্য চুরি করতে, সাইটের আপিয়ারেন্স পরিবর্তন করতে, এবং ভিজিটরকে ম্যালওয়্যার ডাউনলোড বা পারসোনাল ডেটা দিতে ফাঁসাতে পারত।

ডেভেলপাররা সব ইস্যু ফিক্স করল এবং অতিরিক্ত সিকিউরিটি মেজার নিল। লেখার সময় সবচেয়ে সুরক্ষিত ভার্সন: ভার্সন ২.২০.০৩.০১। অনেক ডেভেলপার সাইট বানানোর সময় এই প্লাগইন ইনস্টল করে, কিন্তু ক্লায়েন্ট জানেন না। সৌভাগ্যবশত প্লাগইন রিপোজিটরিতে আছে, তাই ড্যাশবোর্ডে আপডেট নোটিফিকেশন আসে।

৭. Modern Events Calendar Lite

এই ইভেন্ট ক্যালেন্ডার প্লাগইন ওয়ার্ডপ্রেসে ইভেন্ট ম্যানেজমেন্ট সহজ করে! রেসপনসিভ ও মোবাইল-ফ্রেন্ডলি ইন্টারফেস দিয়ে সুন্দর ইভেন্ট ক্যালেন্ডার ডিসপ্লে করা যায়। ফ্রি, ৪০,০০০+ এক্টিভ ইনস্টল।

ফেব্রুয়ারি ২০২০-এ প্লাগইনে একটি ভার্নারেবিলিটি ছিল যাতে হ্যাকার ম্যালওয়্যার ইনজেক্ট করে আরও আক্রমণ চালাতে পারত—সাইটের আপিয়ারেন্স পরিবর্তন, সংবেদনশীল ডেটা চুরি। ৫.১.৬ ভার্সন পর্যন্ত সব ঝুঁকিপূর্ণ। ডেভেলপাররা অবিলম্বে প্যাচ রিলিজ করল এবং এরপর অনেকবার আপডেট দিয়েছে। এই প্লাগইন ব্যবহার করলে যতশীঘ্র লেটেস্ট ভার্সনে আপডেট করার পরামর্শ।

৮. 10Web Map Builder for Google Maps

10Web Map Builder for Google Maps প্লাগইন ওয়ার্ডপ্রেস সাইটে ম্যাপ যোগ করার সহজ পথ দেয়। পাওয়ারফুল ফিচার ও কাস্টমাইজেশন থাকায় ২০,০০০+ এক্টিভ ইনস্টল সহ জনপ্রিয়।

সাম্প্রতিক সময় প্লাগইনের সেটআপ প্রসেসে একটি ভার্নারেবিলিটি পাওয়া গেল। এর মাধ্যমে হ্যাকার ম্যালিশিয়াস স্ক্রিপ্ট ইনজেক্ট করত। সক perfe ক্ট দিয়ে অ্যাডমিন ও সাইট ভিজিটরকে আক্রমণ করত।

ডেভেলপাররা ফেব্রুয়ারি-এ আপডেটেড ভার্সন ১.০.৬৪ রিলিজ করল। আপনার সাইটে এই প্লাগইন থাকলে লেটেস্ট ভার্সনে আপডেট করলেই ইনজেকশন ভার্নারেবিলিটি প্যাচ হয়ে যাবে।

যদি প্লাগইন ভার্নারেবিলিটির কারণে সাইট হ্যাক হয়, তবে আমাদের হ্যাক করা ওয়ার্ডপ্রেস সাইট ক্লিন করার গাইড পড়ুন।

এতে সাম্প্রতিকভাবে আক্রমণের শিকার প্লাগইনগুলো শেষ। এই তালিকা এক্সহাস্টিভ নয়। ১০+ বছরে ওয়ার্ডপ্রেসে কাজ করার অভিজ্ঞতা থেকে বলা যায়, প্লাগইনগুলো সময়ে সময়ে সিকিউরিটি ভার্নারেবিলিটি ডেভেলপ করে। আপনার সাইট ঝুঁকিপূর্ণ প্লাগইন কারণে আক্রমণের শিকার না হয় সেটার জন্য নতুন ভার্সন আসা সাথে সাথে আপডেট করুন! মনে রাখবেন ওয়ার্ডপ্রেস কোর ইনস্টলেশন ও থিমও আপডেট করুন।

আপনার সাইট ঝুঁকিপূর্ণ প্লাগইন কারণে আক্রমণের শিকার না হয় সেটার সেরা উপায়: নতুন ভার্সন আসা সাথে সাথে আপডেট করুন! Click to Tweet

এই নিবন্ধ পছন্দ হলে ওয়ার্ডপ্রেস সাইটের ভার্নারেবিলিটি সম্পর্কে আরও পড়তে পারেন। আমরা ক্রস-সাইট স্ক্রিপ্টিং, SQL ইনজেকশন, প্রিভিলেজ এস্কেলেশন ফ্ল, রিকোয়েস্ট ফোরজারি, আর্বিট্রারি ফাইল আপলোড ইত্যাদি ওয়ার্ডপ্রেস সিকিউরিটি রিস্ক নিয়ে আলোচনা করেছি।

চূড়ান্ত মতামত

অনেক ওয়ার্ডপ্রেস প্লাগইনে ভার্নারেবিলিটি দেখা যায়, কিন্তু অধিকাংশ ডেভেলপার দ্রুত ফিক্স করে দেয়। তারপর দায়িত্ব পড়ে আপনার ওপর—সাইট মালিক হিসেবে আপনি অবিলম্বে প্লাগইন লেটেস্ট ভার্সনে আপডেট করুন।

নियमিত আপডেট হ্যাকারকে বাইরে রাখবে এবং সাইট সুরক্ষিত রাখবে। কিন্তু আমরা বুঝতে পারছি আপডেট ট্র্যাক করা ও ম্যানেজ করা সবসময় সহজ নয়। আমরা দৃঢ়ভাবে আমাদের 'How To Safely Update Your WordPress Site' গাইড পড়ার পরামর্শ দিই।

MalCare-এ আমরা বুঝতে পারি আপডেটের সমস্যা, বিশেষ করে একাধিক ওয়ার্ডপ্রেস সাইট চালালে। তাই জিনিসগুলো সহজ করার জন্য আমাদের প্লাগইন MalCare আপনাকে সেন্ট্রালাইজড ড্যাশবোর্ড দেয় সব আপডেট একসাথে ম্যানেজ করার জন্য। প্লাস, ওয়ার্ডপ্রেস সিকিউরিটি প্লাগইন হ্যাক আক্রমণ থেকে সাইট রক্ষা করবে।

আমাদের MalCare সিকিউরিটি প্লাগইন এখনই ট্রাই করুন!