WordPress 強化外掛安全審查 自動阻擋高風險版本
WordPress.org 外掛團隊近日宣布，將在新版本外掛透過 WordPress.org 更新 API 散布前，先以自動化分析機制檢測程式碼變更。若系統判定該版本屬於 高風險，即會自動停止散布，避免惡意程式碼流入網站生態。
背景與機制
自 2024 年 6 月起，WordPress 為所有外掛與佈景主題的新版本加入 6 小時等待機制。在此期間，系統會同時啟動多個 AI 模型 以及 Jetpack Scan（Jetpack 的安全掃描工具）進行自動化資安審查。
- AI 模型：利用機器學習比對程式碼特徵，偵測潛在的惡意函式或不安全的 API 呼叫。
- Jetpack Scan：提供已知漏洞資料庫比對，快速標示可能被利用的弱點。
2024 年 7 月，審查機制成功捕捉到一款約有 2 萬個有效安裝 的外掛，其新版本被植入後門程式。因當時仍處於等待期間，該版本未能透過更新 API 散布，避免了大規模感染。但當時的系統只能產生 高風險判定，尚未具備自動阻擋功能，仍需外掛團隊人工介入處理。此案例促使 WordPress 進一步優化流程，讓高風險判定能直接觸發自動阻擋。
影響與意義
-
降低供應鏈攻擊風險
外掛是 WordPress 生態系最常見的攻擊向量。自動阻擋高風險版本，可在惡意程式碼公開前即時切斷傳播路徑，減少網站被植入後門或竊取資料的機會。
-
提升開發者與站長信任
站長不必再擔心更新後的外掛會突然帶來安全漏洞；同時，外掛開發者也會因審查機制的透明度提升而受到鼓勵，遵循更嚴格的安全編碼標準。
-
加速資安資訊共享
WordPress 團隊將高風險判定結果即時回饋給外掛作者與社群，形成快速的資訊迴路，有助於整體生態的資安成熟度提升。
未來展望
- 持續優化 AI 分析模型：隨著惡意程式碼手法日新月異，WordPress 需要持續訓練模型，保持偵測精準度。
- 擴大跨平台合作：未來或可與其他開源平台（如 Drupal、Joomla）共享資安情資，形成更廣泛的防護網。
- 加強使用者教育：即使自動阻擋機制已上線，站長仍應定期檢查外掛更新狀態，並訂閱 iThome Security 的資安電子報，以掌握最新威脅與防護建議。
WordPress 這次的安全升級，展示了開源社群在資安防護上的快速迭代能力。對於依賴 WordPress 建置網站的企業與個人而言，這不僅是一次技術上的加固，更是對未來資安風險管理的一種正向訊號。持續關注官方公告與資安新聞，才能在變化莫測的網路環境中保持防護的前瞻性。