Så hackas webbplatser

Modul 7: Säkerhet · Lästid: 8 minuter

Lärandemål: Efter den här lektionen kan du realistiskt förklara hur WordPress-webbplatser oftast hackas, varför små webbplatser också är måltavlor och vad inbrytare vill uppnå med det.

Nyckelbegrepp: sårbarhet, säkerhetshål i tillägg eller tema, automatiska skanningar, credential stuffing, brute force, nulled-mjukvara, infekterad dator, konsekvenser (spam, omdirigering, phishing, skadlig kod), attackyta

"Min webbplats är för liten för att vara intressant"

Det är den vanligaste missuppfattningen. Nästan ingen WordPress-hackning riktar sig mot en specifik webbplats. Inbrytare använder program som automatiskt går igenom tusentals webbplatser i timmen och letar efter en enda sak: en känd svaghet. Hittar programmet den, bryter det sig in, oavsett om webbplatsen tillhör ett multinationellt företag eller den lokala fotbollsklubben.

Det de vill ha är inte din webbplats, utan vad din webbplats kan göra:

• Spam och missbruk av sökmotorer: tusentals dolda sidor eller länkar för läkemedel, spel eller falska butiker, som utnyttjar din domäns goda rykte hos Google.
• Omdirigering: besökare (ofta bara de som kommer från Google eller använder en mobil) skickas till en falsk webbplats eller bedragarsida. Du ser inget, eftersom du själv kommer in via ett bokmärke.
• Phishing: en imiterad inloggningssida för en bank eller leveranstjänst, gömd i din uploads-mapp, med ditt domännamn i länken.
• Spridning av skadlig kod till besökare.
• Utskick av e-post: din server skickar spam, och efter det kommer din egen e-post inte längre fram.
• Beräkningskraft: ditt paket används för attacker mot andra webbplatser eller för att bryta kryptovaluta.
• Data: vid en webbutik eller medlemswebbplats, dina kunders uppgifter.

Ingång 1: ett säkerhetshål i ett tillägg eller tema

Detta är den i särklass viktigaste. Enligt årsrapporten från Patchstack, ett företag som följer WordPress-sårbarheter, hittades 7 966 nya sårbarheter i WordPress-ekosystemet under 2024. 96% fanns i tillägg, 4% i teman, och bara sju i WordPress självt. De flesta säkerhetshål går inte att utnyttja hur som helst, men en del kan det, och de skannas massivt inom timmar eller dagar efter att de blivit kända.

Mönstret är nästan alltid detsamma:

1. Ett säkerhetshål hittas i version 3.2 av ett populärt tillägg.
2. Utvecklaren släpper version 3.2.1 med en rättning. Säkerhetshålet blir offentligt.
3. Inom kort tid skannar program internet efter webbplatser med version 3.2 eller äldre.
4. Den som inte har uppdaterat ännu blir attackerad.

Faran ligger alltså inte i ett hemligt säkerhetshål som ingen känner till, utan i ett känt säkerhetshål som redan har en uppdatering som inte har installerats. Därför är uppdateringar (lektion 7.2) den absolut viktigaste åtgärden, och du bör ta bort det du inte använder (lektion 5.4): varje tillägg som finns kvar, även inaktiverat, ökar din attackyta.

Ett särskilt fall är övergivna tillägg: utvecklaren har slutat, det kommer inga fler rättningar. Och nulled-mjukvara (lektion 5.3): en stulen kopia av ett betaltillägg, ofta med en inbyggd bakdörr.

Ingång 2: lösenord

Den andra stora ingången är att logga in med ett giltigt lösenord:

• Credential stuffing: vid ett dataintrång hos en annan tjänst läcker miljontals kombinationer av e-postadress och lösenord. Program testar dessa kombinationer på olika webbplatser, däribland WordPress-inloggningssidor. Använder du samma lösenord som hos den läckta tjänsten är de inne.
• Brute force: ett program testar helt enkelt väldigt många lösenord, ofta med vanliga användarnamn som admin. Med ett långt, unikt lösenord är det chanslöst, men det kostar ändå din server beräkningskraft.
• Phishing: ett falskt mejl med rubriken "din WordPress måste uppdateras, logga in här" med en länk till en imiterad inloggningssida.

Lektion 7.3 handlar om försvaret: lösenordshanterare, tvåfaktorsautentisering och begränsning av inloggningsförsök.

Ingång 3: allt runt omkring WordPress

Inte alla hackningar börjar i WordPress:

• En infekterad dator hos dig eller din webbyggare, med ett program som stjäl lösenord, till exempel de lösenord som är sparade i ett FTP-program.
• Vanlig FTP utan kryptering, på ett öppet nätverk.
• En annan webbplats i samma paket: en glömd gammal testinstallation, en gammal Joomla i en undermapp. Alla webbplatser i ett paket delar vanligtvis samma användare på servern. Blir den gamla webbplatsen hackad kan inbrytaren också komma åt din WordPress.
• Ett läckt databaslösenord, till exempel via en kopia av wp-config.php i webbmappen (lektion 1.3).
• Formulär utan kontroll som missbrukas för att skicka spam.

Hos ett bra webbhotell är ditt paket avskärmat från andra kunders på samma server (på DirectAdmin-servrar med CloudLinux till exempel med CageFS). Vad som händer inom ditt eget paket är dock ditt eget ansvar.

Vad du märker (och vad du inte märker)

En bra genomförd hackning märker du inte först. Inbrytare vill använda din webbplats så länge som möjligt. Varningssignaler (lektion 7.5 går igenom dem):

• Google meddelar "Den här webbplatsen kan vara hackad", eller du ser konstiga sidor från din domän i sökresultaten (sök till exempel på site:example.com);
• besökare rapporterar att de hamnar någon annanstans;
• det finns administratörer eller filer du inte känner igen;
• ditt webbhotell eller en skadlig kod-skanner rapporterar något;
• din e-post slutar plötsligt komma fram, eller ditt paket är fullt eller långsamt.

Försvar i lager

Ingen åtgärd är vattentät. Säkerhet är en uppbyggnad av lager, så att ett fel i ett lager inte genast öppnar allt:

1. Uppdatera (lektion 7.2): stänger kända säkerhetshål. I särklass viktigast.
2. Få komponenter (lektion 5.3 och 5.4): mindre att uppdatera, färre säkerhetshål.
3. Skärma av inloggning (lektion 7.3): långa unika lösenord, tvåfaktorsautentisering, minsta möjliga rättigheter (lektion 3.3).
4. Härda (lektion 7.4): rättigheter, inställningar och headers som begränsar skada.
5. Säkerhetskopior (lektion 8.1): om det ändå går fel kan du återställa.
6. Veta vad du ska göra om det går fel (lektion 7.5).

Sammanfattning

• Nästan alla hackningar är automatiska och inte riktade; små webbplatser är lika goda måltavlor.
• Inbrytare vill ha det din webbplats kan göra: spam, omdirigering, phishing, e-post, beräkningskraft, data.
• Den största ingången är ett känt säkerhetshål i ett tillägg eller tema som redan hade en uppdatering (under 2024 fanns 96% av de nya sårbarheterna i tillägg).
• Den andra ingången är lösenord: återanvända, gissade eller nätfiskade.
• Även en infekterad dator, vanlig FTP eller en glömd gammal webbplats i samma paket kan vara ingången. Försvara i lager.

Quiz

Uppgift

Uppgift D7.1: Din egen risklista. Gör en lista över allt i ditt webbhotellpaket som kan vara en ingång: varje WordPress-installation (även test- och gamla webbplatser), varje tillägg och tema (även inaktiva), varje konto med administratörsrättigheter (WordPress, FTP, kontrollpanelen för webbhotellet), och de datorer som används för att logga in. Notera för varje del: när den senast uppdaterades, om den fortfarande behövs (ja/nej), och vem som är ansvarig. Markera vilka tre saker du städar upp eller uppdaterar den här veckan och skriv ner varför just dessa.

Läs mer

De här artiklarna beskriver stegen i kontrollpanelerna hos WebOké; i andra kontrollpaneler fungerar det på liknande sätt.

• Hjälp! Min webbplats har hackats. Hur löser eller förhindrar jag det?
• DirectAdmin-guide 18.2: Min webbplats är hackad: steg för steg
• State of WordPress Security in 2025 (Patchstack, engelska): https://patchstack.com/whitepaper/state-of-wordpress-security-in-2025/
• Hardening av WordPress (developer.wordpress.org, engelska): https://developer.wordpress.org/advanced-administration/security/hardening/