ওয়ার্ডপ্রেস আপডেট না করলে সাইট হ্যাক হওয়ার আসল কারণ
ওয়ার্ডপ্রেস আপডেট না করলে সাইট এমনি এমনি হ্যাক হয় না, কেউ ইচ্ছা করে বসে থেকে টার্গেটও করে না। সমস্যাটা আরও সহজ এবং আরও ভয়ংকর: পুরনো ভার্সনের ভেতরে থাকা পাবলিক ভালনারেবিলিটি স্বয়ংক্রিয় বট নিজে থেকেই খুঁজে বের করে। প্রতি সপ্তাহে হাজার হাজার ওয়ার্ডপ্রেস সাইট ঠিক এভাবেই হ্যাক হয়, আর বেশিরভাগ ক্ষেত্রে কারণ একটাই, কোর, থিম বা প্লাগিনের কোনো একটা ভার্সন আপডেট ছাড়া পড়ে ছিল।
ওয়ার্ডপ্রেস আপডেট না করলে আসলে কী ঘটে
আপডেট মানে শুধু নতুন ফিচার আসা না, বেশিরভাগ আপডেটের মূল কাজই হলো সিকিউরিটি প্যাচ দেওয়া। কোনো সিকিউরিটি রিসার্চার একটা ভালনারেবিলিটি খুঁজে পেলে সেটা রিপোর্ট করে, প্লাগিন বা থিমের ডেভেলপার প্যাচ রিলিজ করে, আর সেই মুহূর্ত থেকেই সমস্যাটা পাবলিক হয়ে যায়। যে সাইট তখনো আপডেট করেনি, তার ঠিকানা হ্যাকারদের কাছে খোলা বইয়ের মতো হয়ে থাকে।
Wordfence বা Sucuri-র বার্ষিক থ্রেট রিপোর্ট দেখলেই এটা স্পষ্ট হয়, বেশিরভাগ হ্যাকড ওয়ার্ডপ্রেস সাইটে অন্তত একটা প্লাগিন কয়েক মাস ধরে আপডেট হয়নি। প্লাগিন কনফ্লিক্টের কারণে সাইট ভেঙে যাওয়া আর সিকিউরিটি হোল থেকে যাওয়া, দুটো সমস্যার শিকড় প্রায়ই একই জায়গায়: পুরনো কোড।
কেন পুরনো ভার্সন হ্যাকারদের সবচেয়ে প্রিয় টার্গেট
কারণ পুরনো ভার্সন খুঁজে বের করা এবং আক্রমণ করা পুরোপুরি অটোমেটেড একটা প্রক্রিয়া। হ্যাকাররা ম্যানুয়ালি একেকটা সাইট চেক করে না, তারা বট চালিয়ে একসাথে হাজার হাজার সাইট স্ক্যান করে নির্দিষ্ট ভালনারেবল ভার্সন খোঁজে।
একটা প্লাগিনের ভালনারেবিলিটি প্রকাশ হওয়ার কয়েক ঘণ্টার মধ্যেই সাধারণত একটা automated exploit script তৈরি হয়ে যায়। এরপর সেই স্ক্রিপ্ট দিয়ে ইন্টারনেটের সব ওয়ার্ডপ্রেস সাইট স্ক্যান করা শুরু হয়, যে সাইটে পুরনো ভার্সন পাওয়া যায় সেটাই সরাসরি টার্গেট হয়ে যায়। এখানে সাইটের আকার বা ট্রাফিক কোনো ফ্যাক্টর না, শুধু ভার্সন নম্বরটাই গুরুত্বপূর্ণ।
কোন কোন অংশ নিয়মিত আপডেট রাখা জরুরি
শুধু ওয়ার্ডপ্রেস কোর আপডেট রাখলেই দায়িত্ব শেষ হয় না। একটা সাইট আসলে অনেকগুলো ছোট ছোট সফটওয়্যার উপাদানের সমষ্টি, এবং প্রতিটাই আলাদাভাবে ঝুঁকিপূর্ণ হতে পারে।
নিষ্ক্রিয় প্লাগিন নিয়ে সবচেয়ে বেশি ভুল ধারণা দেখা যায়। প্লাগিন অ্যাক্টিভেট না থাকলেও ফাইলগুলো সার্ভারে পড়ে থাকে, আর সেই ফাইলের ভেতরের ভালনারেবল কোডও ঠিক একইভাবে exploit করা সম্ভব। ব্যবহার না করলে প্লাগিন মুছে ফেলাই বুদ্ধিমানের কাজ, শুধু নিষ্ক্রিয় করে রাখা যথেষ্ট না।
নিরাপদে আপডেট করার সঠিক পদ্ধতি
আপডেট করা মানেই ঝুঁকি নেই তা না, ভুল পদ্ধতিতে আপডেট করলে সেটাও সাইট ভেঙে দিতে পারে। এই ধাপগুলো মেনে চললে ঝুঁকি অনেকটাই কমে যায়।
- আপডেট করার আগে ফাইল ও ডেটাবেজ, দুটোরই সম্পূর্ণ ব্যাকআপ নিন
- সম্ভব হলে আগে একটা স্টেজিং সাইটে আপডেট টেস্ট করুন
- একসাথে সব প্লাগিন না করে একটা একটা করে আপডেট করুন
- প্রতিটা আপডেটের পর সাইটের ফ্রন্টএন্ড ও ড্যাশবোর্ড দুটোই চেক করুন
- কোনো এরর দেখলে সাথে সাথে ব্যাকআপ থেকে রিভার্ট করুন
ব্যাকআপ ছাড়া আপডেট করা মানে নিরাপত্তা বেল্ট ছাড়া গাড়ি চালানো, বেশিরভাগ সময় কিছু হয় না, কিন্তু একবার সমস্যা হলে ফেরার পথ থাকে না। ব্যাকআপ নেওয়ার ধাপে ধাপে পদ্ধতি ওয়ার্ডপ্রেস ব্যাকআপ নেওয়ার এই গাইডে বিস্তারিত দেওয়া আছে।
আপডেট করার পরও যদি সাইট ভেঙে যায়
মাঝেমধ্যে আপডেট করার ঠিক পরপরই সাইট সাদা স্ক্রিন দেখায় বা ড্যাশবোর্ড লক হয়ে যায়। এটা প্লাগিন কনফ্লিক্টের সবচেয়ে কমন লক্ষণ, ভালনারেবিলিটির সমস্যা না। দুটো ঘটনা একই সময় ঘটতে পারে বলে অনেকে গুলিয়ে ফেলেন। কনফ্লিক্ট নিজে থেকে খুঁজে বের করার এবং সমাধানের পুরো প্রক্রিয়া ওয়ার্ডপ্রেস প্লাগিন কনফ্লিক্ট ফিক্স গাইডে ধাপে ধাপে দেখানো আছে।
নিয়মিত মেইনটেনেন্স কেন শুধু আপডেট বাটন ক্লিক করার চেয়ে বেশি জরুরি
অটো-আপডেট অন করে দিলেই দায়িত্ব শেষ হয়ে যায় না। কোনো আপডেট সাইট ভেঙে দিলে সেটা যত দ্রুত ধরা পড়বে, ক্ষতি তত কম হবে। ১০+ বছর ধরে ওয়ার্ডপ্রেস সাইট বানানো এবং ৯৫০+ ফাইভার ক্লায়েন্ট প্রজেক্টের অভিজ্ঞতা থেকে একটা প্যাটার্ন স্পষ্ট: যেসব সাইট নিয়মিত মনিটর করা হয়, সেগুলোই সবচেয়ে কম ডাউনটাইমে চলে এবং হ্যাক হওয়ার হারও সবচেয়ে কম।
যাদের নিজে থেকে প্রতি সপ্তাহে আপডেট চেক করা, ব্যাকআপ রাখা এবং টেস্ট করার সময় বা দক্ষতা নেই, তাদের জন্য নিজে ঝুঁকি নেওয়ার চেয়ে মানিব্যাক গ্যারান্টিসহ স্পিড ও মেইনটেনেন্স সার্ভিস নেওয়াই বাস্তবসম্মত সিদ্ধান্ত।
শেষ কথা
ওয়ার্ডপ্রেস আপডেট না করা কোনো ছোট রিস্ক না, এটা কেবল সময়ের ব্যাপার মাত্র। যেসব ফ্রিল্যান্সার বা ব্যবসা মালিক নিজের সাইট নিজেই ম্যানেজ করতে চান, তাদের জন্য ওয়ার্ডপ্রেস প্রো কোর্সে পুরো আপডেট ও মেইনটেনেন্স ওয়ার্কফ্লো হাতে-কলমে শেখানো হয়। আজই একবার চেক করুন কোন প্লাগিন কতদিন ধরে আপডেট হয়নি, তারপর ব্যাকআপ নিয়ে কাজ শুরু করুন।
