שלושה דברים קרו השבוע בוורדפרס ובכלים שסביבו, ואחד מהם לדעתי די דחוף. פרצה קריטית בתוסף "Login with QR" מאפשרת לכל אחד להתחבר לאתר בתור מנהל, גוגל פתחה בפרופיל העסקי טאב חדש בשם "Collected info" שמראה מה נאסף עליך אוטומטית, ומטא השיקה מנוי עסקי בתשלום בשם "Meta One". אחד מהשלושה דורש פעולה היום, והשניים האחרים שווים כמה דקות.
- פרצה קריטית בתוסף Login with QR מאפשרת התחברות כמנהל
- גוגל פתחה טאב שמראה מה נאסף עליך אוטומטית
- מטא משיקה מנוי עסקי בתשלום בשם Meta One
- איך זה קשור אלי?
פרצה קריטית בתוסף Login with QR מאפשרת התחברות כמנהל
ב-17 בספטמבר פורסמה פרצת אבטחה בתוסף Login with QR, בכל הגרסאות עד 1.0.0. ציון החומרה שלה הוא 9.8 מתוך 10, כלומר קריטית. התוקף לא צריך חשבון באתר ולא צריך שאתה תעשה משהו, והכל נעשה מרחוק.
המנגנון עצמו פשוט: התוסף לא בודק שקוד ההתחברות שהגיע אליו הוא קוד שהוא עצמו הנפיק, ומסתפק בהתאמה לערך שמור כלשהו אצל המשתמש. כך תוקף בלי חשבון ובלי סיסמה מתחבר בתור כל משתמש שירצה, כולל מנהל.
גרסה מתוקנת עוד לא יצאה, אז אין כאן עדכון שמסדר את זה. זה לא תוסף שיושב על כל אתר שני, ולכן השאלה הראשונה היא אם הוא בכלל אצלך, לא אם אתה נפגע. מי שכן מריץ אותו חשוף להשתלטות מלאה, כי חשבון מנהל פותח הכל, מהתוכן ועד המשתמשים ומה שמחובר לאתר.
תיכנס לרשימת התוספים באתר שלך ותחפש את Login with QR. אם הוא שם, תכבה אותו עכשיו, לפני כל דבר אחר. כשאין גרסה מתוקנת אני מכבה תוסף כזה באותו יום ומחפש תחליף אחר כך. אם אתה לא בטוח מה בכלל מותקן אצלך, זו סיבה טובה לעבור על כל רשימת התוספים ולא רק לחפש את השם הזה. אחרי הכיבוי תבדוק שההתחברות הרגילה שלך לאתר עדיין עובדת.
אם אתה חושד שכבר נכנסו לאתר שלך, יש סימנים שאתה יכול לבדוק בעצמך לפני שאתה מזעיק מישהו.
המקור: רשומת הפרצה באתר Strix.
גוגל פתחה טאב שמראה מה נאסף עליך אוטומטית
ב-14 בספטמבר פתחה גוגל טאב חדש בפרופיל העסקי, בשם Collected info. הוא יושב תחת עריכת הפרופיל, ומרכז פרטים שהעוזר האוטומטי של גוגל אסף על העסק שלך בשיחות טלפון, בהודעות טקסט או בוואטסאפ.
לכל פרט ברשימה רשום מקור ותאריך איסוף, ואפשר למחוק פרט שאינו נכון. הפרטים האלה לא באים ממה שאתה מילאת בפרופיל, אלא מהעוזר האוטומטי של גוגל שפונה לעסקים בעצמו. עד עכשיו לא הייתה לך דרך לראות מה נרשם שם, וגוגל לפעמים טועה. פרט שגוי כמו מספר טלפון או שעות פעילות שולח לקוח שכבר החליט לפנות אליך למקום הלא נכון.
תיכנס לפרופיל העסקי שלך בגוגל, תפתח את עריכת הפרופיל ותחפש את הטאב Collected info. הפיצ׳ר עדיין לא זמין בכל אזור, בכל שפה ובכל קטגוריית עסק, אז ייתכן שאצלך הטאב לא יופיע בכלל. אם הוא כן מופיע, תעבור על הרשימה ותמחק כל פרט שגוי. אני פותח את הטאב הזה אצל כל לקוח שיש לו פרופיל עסקי, ומתחיל מהטלפון ומשעות הפעילות. תעבור גם על מה שנראה לך מעודכן ותראה שזה באמת מה שכתוב שם.
המקור: הדיווח ב-Search Engine Land.
מטא משיקה מנוי עסקי בתשלום בשם Meta One
ב-15 בספטמבר מטא השיקה מנוי בתשלום בשם Meta One, שמכסה את אינסטגרם, פייסבוק, וואטסאפ ו-Meta AI. הוא זמין בישראל במחירים בשקלים, והמסלול העסקי הנמוך מתחיל ב-53.99 שקל לחודש. האפליקציות עצמן ו-Meta AI נשארות חינם, ושום דבר אצלך לא נשבר אם לא תשלם. זאת החלטה של תקציב ולא משימת תחזוקה, והיא אמיתית בעיקר אם אתה מנהל מענה ללקוחות בוואטסאפ או שיותר מאדם אחד נוגע בעמוד.
הביקורת המלאה, עם המחירים של כל המסלולים ומה שמטא לא מפרטת: Meta One בישראל: המחירים בשקלים ומה באמת מקבלים עליהם.
איך זה קשור אלי?
שניים מהשלושה נוגעים כמעט לכל בעל עסק עם נוכחות באינטרנט: הטאב החדש בגוגל, אם יש לך פרופיל עסקי, והמנוי של מטא, אם אתה מנהל עמוד בפייסבוק או באינסטגרם. הפרצה בתוסף נוגעת רק למי שבאמת מריץ את Login with QR אצלו.
הבדיקה כולה לוקחת חמש דקות. תפתח את רשימת התוספים באתר שלך ותחפש את Login with QR; תפתח את הפרופיל העסקי בגוגל ותראה אם הטאב Collected info מופיע אצלך; ולהחליט אם Meta One רלוונטי לך בכלל.
דבר אחד באמת דורש טיפול השבוע: אם Login with QR מותקן אצלך, תכבה אותו קודם, לפני כל השאר. שני האחרים לא דחופים, אבל כל אחד מהם שווה כמה דקות, ואת ההחלטה על המנוי של מטא אתה יכול לקחת בזמן שלך. אחרי שעברת על שלושתם אתה סגור לשבוע.
את הבדיקה של Login with QR, ואם צריך גם בדיקה רחבה יותר שהאתר לא נפרץ, אני עושה במסגרת שירות האבטחה. יש לי גם חבילת תחזוקה שסוגרת דברים כאלה מהצד שלי, בלי שתעקוב בעצמך כל שבוע אחרי מה יצא ומה רץ אצלך. תכתוב לי ואשמח לייעץ.
רוצה שמישהו ישמור על האתר שלך
אני מציע חבילת תחזוקה שוטפת לאתרי וורדפרס: עדכונים מבוקרים, גיבוי אוטומטי מחוץ לשרת, ניטור זמינות, ומעקב אבטחה, כך שפריט דחוף כמו זה של השבוע נסגר בלי שתצטרך לשים לב אליו. פרטים על חבילת התחזוקה או צור קשר ב-WhatsApp.
אני גרי חלימסקי, מומחה וורדפרס עצמאי עם 10 שנות ניסיון. אני מתמחה באבחון תקלות, אבטחה, ושיפור ביצועים של אתרי וורדפרס לעסקים קטנים ובינוניים בישראל. בעת הצורך נעזר במומחים מהימנים (עיצוב, שיווק, אנליטיקה). פרטים על השירותים.
