«Это должен знать каждый» – программа безопасности CMS от «коммандос» Безопасного поиска Яндекса. 

Несколько дней назад в блоге команды Безопасного поиска Яндекса появилась чрезвычайно актуальная информация о слабых позициях в CMS и способах повышения безопасности системы. Не секрет, что все больше становится «любителей прощупать» популярные ПО на наличие слабо защищенных участков, и Content Management Systems – не исключение в этом ряду. Как факт – чем выше программа поднимается в рейтинге, тем больше будет приложено усилий к поиску «дыр» в ее защите. Уязвимость современных CMS связана с мультимодульностью, поскольку многочисленные составные элементы программы протестировать на защищенность гораздо сложнее, чем основной код системы.


Вполне естественно, что каждый «пробой» программы интернет-злодеи используют не во благо чужого ресурса. Чаще всего результатом такой деятельности становится появление сомнительного контента или кода-паразита, заносящего вирус в программы компьютера пользователя ресурса. Не редкость и размещение халявной рекламы, перенаправляющей посетителей на сторонние сайты. Как следствие – репутации сайта наносится ущерб, и на выправление реноме уходит немало времени и средств. Яндекс провел самостоятельное исследование 10-ти тысяч самых популярных и одновременно вредоносных ресурсов. По результатам исследования можно сделать вывод, что большая часть из них приходится на систему DLE – 50%; далее идут WordPress и Joomla с 19% на каждую. Самые «беззащитные»: CMS Joomla версии 1.5 и WordPress версий 3.2.1, 3.1.3 и 2.9.2. Что интересно, но магазины продающие майки с прикольными надписями - вообще не заражены по итогам исследования.


Защитить CMS несложно: достаточно придерживаться нескольких правил, рекомендованных специалистами – очень простых в исполнении, но при этом достаточно эффективных в защите. Необходимо:

Систематически обновлять Content Management Systems.

Избегать размещения информации о ее типе и версии в коде страницы.

Использовать только лицензионные версии систем.

Отслеживать появление сторонней информации на страницах сайта.

Пресекать передачу данных серверным скриптам посредством запросов пользователей.

Лимитировать количество загружаемых сторонних скриптов, модулей и расширений.

Проверять устанавливаемое ПО по базе The Open Source Vulnerability Database.