डेवलपर्स प्लगइन अपडेट नहीं करते: वर्डप्रेस साइट मालिकों को हमेशा वर्डप्रेस कोर और ऐड-ऑन्स (थीम्स और प्लगइन्स) को अपडेट रखने की सलाह दी जाती है। जब अनदेखा छोड़ दिया जाता है, तो ऐड-ऑन्स भेद्यता विकसित करते हैं जिसका हैकर फायदा उठाकर साइट में घुस जाते हैं। लेकिन क्या होगा अगर कुछ समय पहले एक भेद्यता की खोज की गई थी और प्लगइन के डेवलपर ने अभी तक इस मुद्दे को हल करने के लिए अपडेट जारी नहीं किया है? आप जैसे वेबसाइट मालिक तब क्या करते हैं? इस पोस्ट का लक्ष्य एक कार्य योजना पर चर्चा करना है जो डेवलपर्स द्वारा अपडेट जारी करने तक साइट को सुरक्षित रखेगी।
2016 में वापस, एक सुरक्षा ब्लॉग ने W3 टोटल कैश में पाई गई क्रॉस-साइट स्क्रिप्टिंग भेद्यता की सूचना दी, जो एक लोकप्रिय कैशिंग प्लगइन है। W3 टोटल कैश सबसे लोकप्रिय कैशिंग प्लगइन्स में से एक था जिसमें 1 मिलियन से अधिक सक्रिय इंस्टॉल थे और pearsonified.com और mashable.com जैसी वेबसाइट्स और यहां तक कि AT&T की कंपनी वेबसाइट द्वारा भरोसा किया जाता था। यह पहली बार नहीं था जब W3 टोटल कैश प्लगइन ने भेद्यता विकसित की थी। वास्तव में, अतीत में टोटल कैश को भेद्यताओं का अच्छा हिस्सा मिला था और उनमें से कुछ का फायदा भी उठाया गया था।
रिपोर्ट के समय, समर्थन संबंधी मुद्दों पर शिकायतें तैर रही थीं जहां उपयोगकर्ता महीनों से डेवलपर्स के साथ संवाद करने की कोशिश कर रहे थे लेकिन बिना अधिक सफलता के। एक असंतुष्ट उपयोगकर्ता ने एक फेसबुक ग्रुप पर पोस्ट किया कि प्लगइन को 7 महीने से अधिक समय से अपडेट नहीं किया गया था। इस बिंदु पर, W3 टोटल कैश का उपयोग करने वाली वेबसाइट्स पर क्रॉस-साइट स्क्रिप्टिंग भेद्यता के संभावित नुकसान पर चिंता समझ में आती है।
भेद्यता के खुलासे के लगभग एक सप्ताह बाद, W3 टोटल कैश ने एक अपडेट जारी किया और शोषण योग्य खामियों को पैच किया। इसके अलावा, उन्होंने उत्पाद में नई सुविधाएं पेश कीं। लेकिन पैच जारी होने के तुरंत बाद, कई वेबसाइट मालिकों ने बताया कि अपडेट ने उनकी साइट को तोड़ दिया। नए अपडेट के लिए वेबसाइट्स को तोड़ना असामान्य नहीं है, इसीलिए स्टेजिंग वातावरण का उपयोग करने की सिफारिश की जाती है। यह आपको लाइव साइट पर बदलाव करने से पहले स्टेजिंग साइट पर अपडेट का परीक्षण करने का अवसर देता है। अगर अपडेट करते समय स्टेजिंग साइट टूट जाती है, तो आप लाइव साइट को नुकसान पहुंचाए बिना प्लगइन डेवलपर्स के साथ समस्या उठा सकते हैं। और हालांकि W3 टोटल कैश के डेवलपर्स को पैच जारी करने में कुछ समय लगा लेकिन चीजें पूरी तबाही का कारण नहीं बनीं।
जब डेवलपर्स प्लगइन अपडेट न करें तो क्या करें?
वर्डप्रेस दुनिया का सबसे लोकप्रिय वेबसाइट निर्माण प्लेटफॉर्म है, और इसकी लोकप्रियता के पीछे सबसे बड़े कारणों में से एक प्लगइन्स का उपयोग है जो उपयोगकर्ताओं को अपनी साइट को आसानी से डिजाइन करने और उसमें कार्यक्षमता जोड़ने में सक्षम बनाता है। कई वर्डप्रेस प्लगइन्स डेवलपर्स द्वारा साइड प्रोजेक्ट के रूप में बनाए जाते हैं। जब एक भेद्यता सामने आती है, तो समस्या की पहचान करने में ही नहीं बल्कि पैच विकसित करने में भी बहुत समय और प्रयास लगता है। कभी-कभी, वे प्लगइन भेद्यता पर तुरंत ध्यान नहीं दे सकते क्योंकि उनके पास एक नियमित नौकरी होती है। एक साइड-प्रोजेक्ट प्राथमिकता नहीं है। इससे पैच जारी करने में देरी होती है।
वर्डप्रेस एक इंटरनेट समुदाय है जो दुनिया भर में फैला हुआ है और कोर या इसके किसी भी ऐड-ऑन (यानी थीम्स और प्लगइन्स) में पाई गई किसी भी भेद्यता के बारे में खबर तेजी से फैलती है। जिसका मतलब है कि हैकर्स जो कमजोर वेबसाइट्स की तलाश में हमेशा रहते हैं, वे घंटों के भीतर वेबसाइट्स पर बड़े पैमाने पर हैक प्रयास शुरू कर देंगे। इस प्रकार जब एक प्लगइन भेद्यता पाई जाती है, लेकिन डेवलपर्स ने अभी तक अपडेट जारी नहीं किया है, तो साइट को नुकसान से बचाने के लिए कुछ कार्रवाई करना महत्वपूर्ण है। जब आप खुद को ऐसी स्थिति में पाते हैं तो यहां क्या करना है:
- प्लगइन को अक्षम करें जब तक कि डेवलपर्स द्वारा भेद्यता को ठीक करने के लिए अपडेट जारी नहीं किया जाता।
- अगर यह प्रीमियम प्लगइन या प्लगइन का प्रीमियम वर्जन नहीं है, तो wordpress.org पर सपोर्ट फोरम पर जाएं और शिकायत दर्ज करें। उम्मीद है, पर्याप्त शिकायतें डेवलपर्स को जल्दी पैच जारी करने के लिए प्रेरित करेंगी।
- आमतौर पर, भेद्यता की खोज के बाद अपडेट आने में 48 घंटे से अधिक समय लगता है। लेकिन अगर इसमें अधिक समय लगता है, तो डेवलपर्स से संपर्क करें और उन्हें समस्या के बारे में सूचित करें। अपना स्रोत उद्धृत करें, यानी आपने भेद्यता के बारे में कहां से सुना। प्लगइन की आधिकारिक वेबसाइट पर कहीं न कहीं 'संपर्क करें' पेज या ईमेल एड्रेस होना चाहिए। उन्हें एक मेल भेजें।
- इस बीच, एक वैकल्पिक प्लगइन का उपयोग करें जो आपकी साइट को पूरी तरह कार्यात्मक रखने में मदद करेगा। जब कोई प्लगइन काम करना बंद कर दे तो हमेशा एक योजना तैयार रखने की सिफारिश की जाती है।
जैसा कि हमने पहले उल्लेख किया है, वर्डप्रेस प्लगइन रिपॉजिटरी में बहुत सारे प्लगइन्स हैं जो शौक या साइड प्रोजेक्ट के रूप में विकसित किए गए हैं। इसका मतलब है कि एक डेवलपर जो एक मुफ्त उत्पाद बनाने के लिए काम कर रहा है, वह किसी भी समय उत्पाद को छोड़ सकता है। और इसीलिए कई सुरक्षा विशेषज्ञ केवल प्रसिद्ध और समुदाय में सम्मानित डेवलपर्स द्वारा बनाए गए प्रीमियम प्लगइन का उपयोग करने की सलाह देते हैं। जो डेवलपर्स उनके द्वारा बनाए जा रहे प्लगइन या थीम के लिए भुगतान नहीं पा रहे हैं, वे प्लगइन/थीम को बढ़ाने या बनाए रखने के लिए कम समय समर्पित करने की संभावना रखते हैं। उनके पास एक पूर्णकालिक नौकरी हो सकती है जो उन्हें व्यस्त रखती है और उनके बिलों का भुगतान करती है जो एक ऐसे उत्पाद में समय निवेश करने को अव्यावहारिक बनाता है जो कोई मौद्रिक लाभ नहीं लाता।
वर्डप्रेस प्लगइन्स में भेद्यताएं विकसित होंगी चाहे वे किसी विशेषज्ञ द्वारा बनाए गए हों या शौकिया द्वारा। अगर आप छोड़े गए थीम/प्लगइन का उपयोग करते रहते हैं, तो कोई रखरखाव नहीं होगा, इसलिए कोई अपडेट नहीं होगा। जब कोई त्रुटि होती है, तो आप प्लगइन डेवलपर्स तक पहुंचना चाहेंगे, लेकिन चूंकि प्लगइन को इसके डेवलपर्स की टीम द्वारा छोड़ दिया गया है, आपको कोई समर्थन भी नहीं मिलेगा। यह आपको, उपयोगकर्ता को, एक तंग स्थिति में छोड़ देता है क्योंकि एक वैकल्पिक प्लगइन या थीम पर स्विच करने के लिए फिर से समय और प्रयास निवेश करने की आवश्यकता होती है लेकिन यह एकमात्र व्यवहार्य विकल्प है। अच्छी वेबसाइट सुरक्षा प्रथाएं उपयोगकर्ता से प्लगइन चुनने के तरीके पर कुछ प्रोटोकॉल का पालन करने का आग्रह करती हैं। हमने उन्हें यहां सूचीबद्ध किया है:
- एक प्रसिद्ध डेवलपर द्वारा विकसित प्लगइन चुनें ताकि ऐसी स्थिति से बचा जा सके जहां आप किसी ऐसे प्लगइन का उपयोग कर रहे हैं जिसे निर्माता द्वारा छोड़ दिया गया है।
- सुनिश्चित करें कि प्लगइन नियमित रूप से अपडेट किया जा रहा है जिसका मतलब होगा कि डेवलपर्स उन कमजोरियों को ठीक कर रहे हैं जिनका उपयोग हैकर्स आपकी साइट में घुसने के लिए कर सकते थे। वर्डप्रेस रिपॉजिटरी पर जाकर देखें कि आखिरी अपडेट कब किया गया था।
- मुफ्त के बजाय प्रीमियम प्लगइन का उपयोग करें। अगर किसी प्लगइन का मुफ्त वर्जन है, तो उसका उपयोग बुनियादी कार्यक्षमता का परीक्षण करने के लिए करें, लेकिन हम सुझाव देते हैं कि आप प्रीमियम वर्जन में अपग्रेड करें। जैसा कि हमने पहले चर्चा की, मुफ्त प्लगइन्स छोड़े जा सकते हैं, या महत्वपूर्ण अपडेट रोल आउट होने में बहुत अधिक समय लग सकता है।
हम आशा करते हैं कि यह पोस्ट डेवलपर द्वारा अपना प्लगइन अपडेट न करने पर कार्रवाई का रास्ता अपनाने में मदद करेगी। पढ़ने के लिए धन्यवाद और अगर आपका कोई सवाल है, तो कृपया हमें लिखें।
