De helft van de WordPress-sites die aanvallers vorig jaar wisten over te nemen of met malware infecteerden was niet up-to-date, zo stelt securitybedrijf Sucuri op basis van eigen onderzoek. Dat is gebaseerd op bijna 47.000 opgeschoonde websites en meer dan 132 miljoen uitgevoerde scans van websites.

Hoewel de helft van de besmette WordPress-sites een verouderde of onveilige versie draaide, was dit niet per definitie de reden dat de aanvallers binnen wisten te komen. De aanwezigheid van kwetsbare plug-ins en themes en onbeveiligde adminpanels is volgens het securitybedrijf een veel groter risico. Standaard biedt het beheerderspaneel van WordPress geen multifactorauthenticatie en stelt ook geen beperkingen aan het aantal mislukte inlogpogingen, waardoor bruteforce-aanvallen mogelijk zijn.

"Het gebruik van kwetsbare onderdelen, zoals plug-ins en themes, blijft één van de twee voornaamste oorzaken van besmette websites, de ander is het gebruik van zwakke wachtwoorden, met name bij onbeveiligde adminpanels", aldus de onderzoekers. Van alle websites die Sucuri opschoonde waren WordPress-sites het vaakst up-to-date. De helft van deze websites draaide de meest recente versie. Bij andere platformen, zoals Prestashop, vBulletin en Typo3, bleek dat alle besmette sites ook niet up-to-date waren.

Wanneer aanvallers toegang krijgen installeren ze meestal malware die bezoekers doorstuurt naar malafide websites of inloggegevens probeert te stelen. Verder installeren de aanvallers vaak een backdoor die andere activiteiten faciliteren, zoals het versturen van spam en het verbeteren van de zoekmachineranking van andere websites. Afsluitend stelt het securitybedrijf dat een goede beveiliging uiteindelijk uit een aantal basisprincipes bestaat, zoals het up-to-date houden van de omgeving en gebruik van sterke wachtwoorden.