Инициатива «Protect The Shire» была запущена WordPress.org, предусматривающая обязательную проверку каждого обновления плагинов и тем перед их публикацией. Изначально время ожидания составляло сутки, впоследствии его уменьшили до 6–8 часов. Данная мера направлена на предотвращение попадания вредоносного кода на многочисленные веб-сайты, однако она также задерживает выпуск исправлений для уже выявленных уязвимостей, что оставляет ресурсы без необходимой защиты в течение нескольких критических периодов.
Арсений Мальгинов, специалист по информационной безопасности из «Газинформсервис», объяснил, что концепция инициативы представляется обоснованной, но её практическая реализация порождает новую потенциальную проблему: злоумышленники получают доступ к информации об изменениях в коде, что позволяет им реконструировать методы взлома и использовать гарантированное время для осуществления атак.
Арсений Мальгинов подчеркнул, что «Protect The Shire» является своевременной мерой противодействия реальной опасности, связанной с цепочками поставок. В официальном каталоге WordPress представлено более 78 тысяч плагинов и тем, и ранее злоумышленники могли в течение часа внедрить вредоносный код на миллионы сайтов, получив доступ к аккаунту разработчика. Подобная практика уже широко распространена в магазинах приложений и экосистеме Linux — WordPress следует общему тренду.
Тем не менее, у данного подхода существует существенный недостаток. — предупреждает эксперт.
Примечательно, что за прошедший полтора месяца период ожидания было сокращено с 24 до 6 часов. При этом об этой корректировке не сообщалось публично – сотрудники WordPress узнали о ней лишь в ходе развёртывания обновлений. В перспективе WordPress намерен полностью исключить подобную задержку, при условии, что ИИ-сканер под названием Gandalf не обнаружит каких-либо проблем. — резюмирует Арсений Мальгинов.
По мнению эксперта, это означает для владельцев веб-ресурсов, что теперь именно платформа, а не они сами, определяет момент применения патча после его публикации. Для минимизации рисков, связанных с этим промежутком времени, требуется внедрение дополнительных средств, функционирующих независимо от стандартного каталога: веб-файрвол, мониторинг попыток взлома, эксплуатирующих известные уязвимости, и проверка целостности файлов. Несмотря на то, что обновление плагинов остаётся важной процедурой, её недостаточно для обеспечения надёжной защиты.
Он также подчеркнул, что актуальные вопросы в области кибербезопасности, включая методы противодействия кибератакам, будут рассмотрены на ежегодном форуме GISDAYS 2026 (Global Information Security Days*), который компания «Газинформсервис» организует уже девятый год подряд с 30 сентября по 2 октября в Санкт-Петербурге и Москве.
*Global Information Security Days (GISDAYS) – дни глобальной информационной безопасности
