Većina vlasnika sajtova misli da hakeri napadaju velike firme, banke i poznate portale. Istina je daleko prizemnija. Najčešći ulaz za napadača je mali dodatak koji ste instalirali pre tri godine zbog jedne forme ili slajdera, pa zaboravili na njega. Zastareli pluginovi su danas glavni razlog zašto se WordPress sajtovi hakuju, a to važi podjednako za sajt male zanatske radnje i za web shop sa hiljadu proizvoda.
Prema godišnjem izveštaju kompanije Patchstack, koja prati bezbednost WordPress ekosistema, tokom 2025. otkriveno je 11.334 novih ranjivosti. Jezgro WordPressa imalo je samo šest. Sve ostalo otpada na dodatke i teme, pri čemu pluginovi nose oko 91 odsto ukupnog broja. Sistem koji instalirate je prilično siguran. Rizik raste sa svakim novim dodatkom.
Ranjivost je greška u kodu koja nekome omogućava da uradi nešto što ne bi smeo. Nekad je to ubacivanje skrivenog koda na stranicu, nekad pristup bazi sa podacima kupaca, a u najgorem slučaju potpuno preuzimanje admin panela. Kada se takav propust otkrije, autor plugina objavi ispravku. Opasnost živi u periodu između objave i trenutka kada vi kliknete na ažuriranje.
Napadači ne traže mete ručno. Koriste automatizovane programe koji za par minuta prođu kroz desetine hiljada adresa i proveravaju koja verzija nekog dodatka je instalirana. Patchstack navodi da kod najtraženijih ranjivosti masovni napadi kreću u proseku pet sati posle objave, a skoro polovina se iskoristi u prvih 24 sata. Ako ažuriranje ostavite za sledeći mesec, vaš sajt je sve to vreme na spisku lakih meta.
Još opasniji od zastarelog je napušten plugin. To je dodatak čiji autor više ne izbacuje nove verzije, pa za otkrivenu grešku zakrpa nikad ne stigne. Izveštaj navodi da 46 odsto prošlogodišnjih ranjivosti nije imalo rešenje u trenutku kada su postale javne. Kod napuštenih dodataka ono ne dolazi ni posle nedelju dana, ni posle čitavog leta.
Prepoznaćete ih lako. U spisku pluginova WordPress prikazuje kada je svaki dodatak poslednji put menjan i sa kojom verzijom sistema je testiran. Ako tu piše da programer ćuti dve godine, pravi je trenutak za zamenu. Zvanični repozitorijum WordPress.org je samo tokom 2024. uklonio 1.614 dodataka i tema zbog neispravljenih bezbednosnih propusta, a kopije koje su ljudi već instalirali nastavile su da rade kao da se ništa nije desilo.
Retko ko će vam obrisati sajt i ostaviti poruku na početnoj strani. Daleko češće hakovan sajt nastavlja da radi naizgled normalno, dok u pozadini šalje posetioce na lažne prodavnice, ubacuje skrivene linkove ka kladionicama ili koristi vaš server za slanje neželjene pošte. Google takvu adresu brzo obeleži upozorenjem da je opasna, pozicije padnu preko noći, a hosting kompanija ponekad privremeno ugasi nalog dok se zaraza ne očisti.
Vlasnik za sve to obično sazna poslednji. Javi mu se kupac koji je uzalud pokušavao da otvori stranicu, ili primeti da su upiti preko kontakt forme naglo stali. Čišćenje zaraženog sajta, vraćanje iz rezervne kopije i molba Google-u da ukloni upozorenje traju danima, a oglasi i SEO u međuvremenu dovode kupce konkurenciji.
Strah je razumljiv. Svako ko je ikada kliknuo na ažuriranje i posle gledao sajt bez dizajna zna koliko to ume da iznervira. Česta priča je kada se besplatni builder ažurira, a njegov plaćeni dodatak ostane na staroj verziji jer je licenca odavno istekla. Dva dela istog alata prestanu da se razumeju i stranice se prikazuju kao goli tekst.
Rešenje nije izbegavanje, već red. Pre svake veće izmene napravite rezervnu kopiju sajta, a ozbiljnije promene prvo isprobajte na kopiji koja stoji na privremenoj adresi. Plaćene dodatke držite sa aktivnom licencom, jer bez nje ne dobijate bezbednosne zakrpe. Sve što ne koristite obrišite, a ne samo isključite. Isključen plugin i dalje leži na serveru sa svim svojim propustima.
Za većinu poslovnih sajtova dovoljan je jednostavan ritam. Jednom nedeljno pogledajte ima li novih verzija dodataka, teme i samog WordPressa. Jednom mesečno prođite kroz spisak i uklonite višak. Proverite i verziju PHP-a na hostingu, jer stara 7.4 odavno ne dobija bezbednosne ispravke, a mnogi novi dodaci na njoj ni ne rade kako treba.
Automatsko ažuriranje pomaže kod sitnih alata koji ne utiču na izgled, recimo za obaveštenje o kolačićima ili mapu sajta. Builder, temu i web shop bolje je da ažurira neko ko odmah potom proveri kontakt obrasce, korpu i naplatu. Evropska unija je od 11. septembra uvela obavezu da proizvođači komercijalnih dodataka prijave aktivno iskorišćen propust u roku od 24 sata. Ispravke će stizati brže, ali vredeće samo onima koji ih instaliraju.
Nekoliko minuta nedeljno košta mnogo manje od čišćenja zaraženog sajta, pada na Google pretrazi i izgubljenog poverenja kupaca. Ako nemate vremena za to, održavanje može da preuzme agencija koja vam je radila sajt.
