WordPress — не «просто CMS», а крупная поверхность атаки: 43,1% сайтов на ней, и каждый плагин/тема добавляют

WordPress — не «просто CMS», а крупная поверхность атаки: 43,1% сайтов на ней, и каждый плагин/тема добавляют отдельный риск. По данным Wordfence, за 2024 год уязвимости в плагинах и темах выросли на 68% год к году. Ключевая проблема не в самом ядре, а в хвосте из заброшенных расширений, которые продолжают работать в проде.

Кейс из операционки: команда обновляет core, ставит патчи на основные модули, а старый плагин с низким приоритетом остаётся без контроля. Через него и прилетает инцидент.

Что делать:
1. Инвентаризация всех тем и плагинов.
2. Проверка активных и неактивных расширений — неактивные тоже учитывать.
3. Регулярный скан WPScan по расписанию, а не «по факту взлома».
4. Отдельный SLA на обновления для критичных и заброшенных компонентов.
5. Вывод из эксплуатации всего, что не поддерживается.

WPScan здесь полезен не как «сканер на разок», а как часть процесса управления уязвимостями. Без регулярной проверки WordPress превращается в склад забытых рисков 🔧