WordPress භාවිතා කරන බොහෝ වෙබ්අඩවි හිමියන්ට නවතම wp2shell තර්ජනය ගැන අලුත් පුවතක් එළඹී ඇත. බොහෝ දෙනා "WordPress යාවත්කාලීන කරන්න" කියා පවසනවාද? ඒක වැදගත් වුවද, එය පූර්ණ ආරක්ෂාවක් නොවේ.
wp2shell දුර්වලතාවය ජූලි 17 වැනිදා ප්රකාශයට පත් වුණා, සහ ප්රකාශයට පසු කිසිදිනක් නොකාලෙකින් ප්රචලිත වුනා. WordPress 6.9.0‑6.9.4 සහ 7.0.0‑7.0.1 සංස්කරණ වලින් මෙම දුර්වලතාවයට බිඳ වැටෙනවා. WordPress එකේ ස්වයංක්රීය යාවත්කාලීන පද්ධතියක් තිබුනත්, "බලපෑම" කියලා කියන එක "හෝ" කියලා නොවෙයි – ඔබේ අඩවියේ ඇත්තේ කුමන සංස්කරණදැයි පරීක්ෂා කර බැලිය යුතුයි.
කොහොමද මේක වැදගත්? අඩවිය මේ දුර්වලතාවයට බිඳ වැටුනොත්, හැකියාවක් ඇති අක්රමිකයා REST API හරහා කේතයක් ක්රියාත්මක කර, පරිපාලක ගිණුමක් තනයි, ගොනු යාවත්කාලීන කරයි, wp_cron මඟින් පසු‑පැමිණිම් පාලනය කරයි. ඒ නිසා ඔබේ වෙබ් අඩවිය පරිහරණය කරගැනීමට හෝ දත්ත හොරකම් කිරීමට ඉඩ ලැබේ.
ශ්රී ලංකාවට ඇති වැදගත්කම
ශ්රී ලංකාවේ WordPress වෙබ්අඩවි ගණන ඉහළ යාම නිසා, මේ තර්ජනය දේශීය ව්යාපාර, පාඨමාලා, සහ තාක්ෂණික ආරම්භකයන්ට සෘජු බලපෑමක් කරයි. බොහෝ ශ්රී ලංකා සමාගම් තම වෙබ් අඩවි හෝ e‑commerce වෙළඳසැල සඳහා WordPress භාවිතා කරන අතර, අක්රමික ප්රවේශයක් ලැබීමෙන් ගනුදෙනුකාරයන්ගේ විශ්වාසය අඩාල විය හැක. ඒ නිසා, සංවර්ධකයින්ට නවතම සංස්කරණය පරීක්ෂා කිරීම, WAF (Web Application Firewall) සැකසීම, සහ REST API ආරක්ෂා කිරීම අත්යවශ්ය වේ. තවත්, ශ්රී ලංකාවේ තාක්ෂණික විද්යාල ශිෂ්යයන්ට මේ සිදුවීම සයිබර් ආරක්ෂාව පිළිබඳ ප්රායෝගික උදාහරණයක් ලෙස ගත හැක, ඉදිරියේදී වඩා හොඳ ප්රතිරෝධක හැකියාවන් ගොඩනැගීමට උදව් කරනවා.
S1 – ඔබේ WordPress සංස්කරණය තහවුරු කරන්න
- Dashboard → Updates හි “Version” බලන්න.
- WP‑CLI භාවිතා කරන්නේ නම්
wp core versionක්රියාත්මක කරන්න. - ඔබ 6.9.5 හෝ 7.0.2 වැනි නවතම සංස්කරණයක් නොදැක්කා නම්, වහාම යාවත්කාලීන කරන්න.
S2 – යාවත්කාලීන කළ නොහැකි නම් තාවකාලික ආරක්ෂා ක්රම
- ඔබේ WAF/Reverse proxy (Cloudflare, Nginx ආදිය) තුළ
/wp-json/batch/v1සහ?rest_route=/batch/v1යන මාර්ගවලට අනිත්ය ප්රවේශය අවහිර කරන්න. - REST API පමණක් ලොග්‑ඉන් පරිශීලකයින්ට සීමා කරන plugin එකක් ස්ථාපනය කරන්න.
- Cloudflare Managed Ruleset හි “wp2shell” සම්බන්ධ රූල සක්රිය කර තිබේදැයි පරීක්ෂා කරන්න.
S3 – ඔබේ අඩවිය පලමු වරට පීඩනයට ලක්වී තිබේදැයි පරීක්ෂා කරන්න
- නව පරිපාලක ගිණුම් හෝ අහඹු මුරපද නැවත සැකසීම් තිබේදැයි බලන්න.
- wp‑content ෆෝල්ඩරය තුළ අසාමාන්ය .php ගොනු, අමුත්තාමක තැටි දිනයන් පරීක්ෂා කරන්න.
- wp_cron හි අමුත්තාමක කාර්යයන් තිබේදැයි සොයා බලන්න.
- ඇක්සස් ලොග් වල /wp-json/batch/v1 වෙත POST ඉල්ලීම් තිබේදැයි සොයාගන්න.
මෙම පියවරයන් අනුගමනය කිරීමෙන් ඔබේ WordPress අඩවිය ආරක්ෂා කරගත හැක, නමුත් අවසානයේ නවතම WordPress සංස්කරණයට යාවත්කාලීන කිරීම අත්යවශ්යයි. ආරක්ෂාව දිගටම නවීකරණය කර ගැනීම, අනාගත තර්ජනවලින් ඔබේ වෙබ් අඩවිය රැක ගැනීමට මූලික යුක්තියක් වේ.
