Hvordan nettsteder blir hacket

Modul 7: Sikkerhet · Lesetid: 8 minutter

Læringsmål: Etter denne leksjonen kan du forklare realistisk hvordan WordPress-nettsteder som regel blir hacket, hvorfor også små nettsteder er mål, og hva inntrengere vil oppnå med dem.

Nøkkelbegreper: sårbarhet, sikkerhetshull i utvidelse eller tema, automatiske skanninger, credential stuffing, brute force, nulled-programvare, infisert datamaskin, konsekvenser (spam, videresending, phishing, skadevare), angrepsflate

«Nettstedet mitt er for lite til å være interessant»

Dette er den vanligste misforståelsen. Nesten ingen WordPress-hack er rettet mot ett bestemt nettsted. Inntrengere bruker programmer som automatisk går gjennom tusenvis av nettsteder i timen og leter etter én ting: en kjent svakhet. Finner programmet den, bryter det seg inn, uansett om nettstedet tilhører et multinasjonalt selskap eller det lokale fotballaget.

Det de vil ha, er ikke nettstedet ditt, men hva nettstedet ditt kan brukes til:

• Spam og misbruk av søkemotorer: tusenvis av skjulte sider eller lenker for medisiner, spill eller falske nettbutikker, som utnytter det gode navnet til domenet ditt hos Google.
• Videresending: besøkende (ofte bare de som kommer fra Google eller fra mobil) sendes til et falskt nettsted eller en svindelside. Du ser ingenting, fordi du selv kommer inn via et bokmerke.
• Phishing: en etterlignet innloggingsside for en bank eller leveringstjeneste, gjemt i uploads-mappen din, med domenenavnet ditt i lenken.
• Spredning av skadevare til besøkende.
• Utsendelse av e-post: serveren din sender spam, og deretter slutter din egen e-post å komme fram.
• Regnekraft: pakken din brukes til angrep på andre nettsteder eller til graving av kryptovaluta.
• Data: ved en nettbutikk eller medlemsside, dataene til kundene dine.

Inngang 1: et sikkerhetshull i en utvidelse eller et tema

Dette er den desidert viktigste inngangen. Ifølge årsrapporten fra Patchstack, et selskap som holder oversikt over WordPress-sårbarheter, ble det i 2024 funnet 7 966 nye sårbarheter i WordPress-økosystemet. 96 % lå i utvidelser, 4 % i temaer, og bare sju i selve WordPress. De fleste sikkerhetshullene kan ikke utnyttes helt enkelt, men en del kan, og disse blir massivt skannet i løpet av timer eller dager etter at de blir offentliggjort.

Mønsteret er nesten alltid det samme:

1. Det blir funnet et sikkerhetshull i versjon 3.2 av en populær utvidelse.
2. Utvikleren lanserer versjon 3.2.1 med en reparasjon. Sikkerhetshullet blir offentlig kjent.
3. I løpet av kort tid skanner programmer internett etter nettsteder med versjon 3.2 eller eldre.
4. De som ennå ikke har oppdatert, blir brutt seg inn hos.

Faren ligger altså ikke i et hemmelig hull som ingen kjenner til, men i et kjent hull det allerede finnes en oppdatering for, men som ikke er installert. Derfor er oppdateringer (leksjon 7.2) det aller viktigste tiltaket, og du bør fjerne det du ikke bruker (leksjon 5.4): hver utvidelse som ligger der, også deaktiverte, øker angrepsflaten din.

Et spesielt tilfelle er forlatte utvidelser: utvikleren har sluttet, det kommer ikke flere reparasjoner. Og nulled-programvare (leksjon 5.3): en stjålet kopi av en betalt utvidelse, ofte med en innebygd bakdør.

Inngang 2: passord

Den andre store inngangen er innlogging med et gyldig passord:

• Credential stuffing: ved et datainnbrudd hos en annen tjeneste har millioner av kombinasjoner av e-postadresse og passord lekket. Programmer prøver disse kombinasjonene på alle slags nettsteder, blant annet innloggingssider for WordPress. Bruker du samme passord som hos den tjenesten det lekket fra, kommer de inn.
• Brute force: et program prøver rett og slett svært mange passord, ofte sammen med brukte brukernavn som admin. Med et langt, unikt passord er dette håpløst for inntrengeren, men det koster serveren din regnekraft.
• Phishing: en falsk e-post «WordPress-en din må oppdateres, logg inn her» med en lenke til en etterlignet innloggingsside.

Leksjon 7.3 handler om forsvaret: passordbehandler, tofaktorautentisering og begrensning av innloggingsforsøk.

Inngang 3: alt rundt WordPress

Ikke alle hack starter i WordPress:

• En infisert datamaskin hos deg eller hos nettstedutvikleren din, med et program som stjeler passord, for eksempel passordene som er lagret i et FTP-program.
• Vanlig FTP uten kryptering, på et åpent nettverk.
• Et annet nettsted i samme pakke: en glemt gammel testinstallasjon, en gammel Joomla i en undermappe. Alle nettsteder i én pakke deler som regel samme bruker på serveren. Blir det gamle nettstedet hacket, kan inntrengeren også komme til WordPress-en din.
• Et lekket databasepassord, for eksempel via en kopi av wp-config.php i webmappen (leksjon 1.3).
• Skjemaer uten kontroll som misbrukes til å sende spam.

Hos et godt webhotell er pakken din skjermet fra pakkene til andre kunder på samme server (på DirectAdmin-servere med CloudLinux for eksempel med CageFS). Det som skjer innenfor din egen pakke, er likevel ditt ansvar.

Hva du merker (og hva du ikke merker)

En god hack merker du som regel ikke i starten. Inntrengere vil bruke nettstedet ditt så lenge som mulig. Signaler (leksjon 7.5 går nærmere inn på dette):

• Google melder «Dette nettstedet kan ha blitt hacket», eller du ser merkelige sider fra domenet ditt i søkeresultatene (søk gjerne på site:example.com);
• besøkende melder at de havner et annet sted;
• det finnes administratorer eller filer du ikke kjenner til;
• webhotellet ditt eller en skadevareskanner melder noe;
• e-posten din kommer plutselig ikke fram lenger, eller pakken din er full eller treg.

Forsvar i lag

Ingen enkelttiltak er vanntett. Sikkerhet er en oppbygning av lag, slik at en feil i ett lag ikke umiddelbart åpner alt:

1. Oppdatering (leksjon 7.2): lukker de kjente sikkerhetshullene. Desidert det viktigste.
2. Få komponenter (leksjon 5.3 og 5.4): mindre å oppdatere, færre hull.
3. Skjerme innlogging (leksjon 7.3): lange unike passord, tofaktorautentisering, minste nødvendige rettigheter (leksjon 3.3).
4. Herding (leksjon 7.4): rettigheter, innstillinger og headere som begrenser skaden.
5. Sikkerhetskopier (leksjon 8.1): hvis noe likevel går galt, kan du gå tilbake.
6. Å vite hva du skal gjøre når noe går galt (leksjon 7.5).

Oppsummering

• Nesten alle hack er automatiske og ikke rettet mot deg spesielt; små nettsteder er like mye mål som store.
• Inntrengere vil ha det nettstedet ditt kan brukes til: spam, videresending, phishing, e-post, regnekraft, data.
• Den største inngangen er et kjent sikkerhetshull i en utvidelse eller et tema det allerede fantes en oppdatering for (i 2024 lå 96 % av de nye sårbarhetene i utvidelser).
• Den andre inngangen er passord: gjenbrukte, gjettede eller fisket.
• Også en infisert datamaskin, vanlig FTP eller et glemt gammelt nettsted i samme pakke kan være inngangen. Forsvar deg i lag.

Quiz

Oppgave

Oppgave D7.1: Din egen risikoliste. Lag en liste over alt i webhotellpakken din som kan være en inngang: hver WordPress-installasjon (også test- og gamle nettsteder), hver utvidelse og hvert tema (også inaktive), hver konto med administratorrettigheter (WordPress, FTP, kontrollpanelet), og datamaskinene det logges inn fra. Noter for hver del: når sist oppdatert, fortsatt nødvendig (ja/nei), og hvem som er ansvarlig. Kryss av for hvilke tre ting du rydder opp i eller oppdaterer denne uken, og noter hvorfor akkurat disse.

Les mer

Disse artiklene beskriver trinnene i kontrollpanelene til WebOké; i andre kontrollpaneler fungerer de på lignende måte.

• Hjelp! Nettstedet mitt er hacket. Hvordan løser eller forebygger jeg det?
• DirectAdmin-veiledning 18.2: Nettstedet mitt er hacket: steg for steg
• State of WordPress Security in 2025 (Patchstack, engelsk): https://patchstack.com/whitepaper/state-of-wordpress-security-in-2025/
• Sikkerhet i WordPress (developer.wordpress.org, engelsk): https://developer.wordpress.org/advanced-administration/security/hardening/