Updates im Blick behalten

Modul 7: Sicherheit · Lesezeit: 8 Minuten

Lernziel: Nach dieser Lektion können Sie Updates so einrichten, dass sie schnell und sicher ablaufen, und Sie wissen, was Sie mit einem Plugin tun, das keine Updates mehr erhält.

Kernbegriffe: kleine Version, grosse Version, Sicherheitsupdate, automatische Updates (Core, Plugins, Themes), Rollback, Installer-Updates, verlassenes Plugin, Änderungsprotokoll, Staging für grosse Updates

Warum schnelles Aktualisieren wichtiger ist als vorsichtiges Abwarten

Lektion 7.1 hat es gezeigt: Einbrecher suchen nach bekannten Lücken, für die bereits ein Update existiert. Zwischen dem Erscheinen einer Reparatur und den ersten massenhaften Scans liegen manchmal nur ein paar Stunden oder Tage. Wer "erst einen Monat abwartet, ob das Update gut ist", steht diesen Monat offen.

Gleichzeitig kann ein Update etwas kaputt machen. Die Lösung ist nicht Warten, sondern dafür zu sorgen, dass Aktualisieren von selbst, schnell und rückgängig zu machen ist:

• kleine Updates und Plugin-Updates automatisch;
• ein Backup kurz vor dem Update, mit einem automatischen Rückfall, falls etwas schiefgeht;
• grosse Updates zunächst in Staging testen (Lektion 8.3), aber innerhalb von Tagen, nicht Monaten.

Kleine und grosse Versionen von WordPress

WordPress nummeriert Versionen wie 7.1.4:

• 7.1 ist die grosse Version (Major Release). Davon gibt es ein paar pro Jahr, mit neuen Funktionen.
• .4 ist eine kleine Version (Minor Release): Reparaturen und Sicherheitsupdates, ohne grosse Änderungen.

Seit Version 3.7 installiert WordPress kleine Versionen und Sicherheitsupdates automatisch, sofern Sie das nicht ausgeschaltet haben. Grosse Versionen installieren Sie standardmässig selbst, mit einer Schaltfläche bei Dashboard > Aktualisierungen. In wp-config.php können Sie dieses Verhalten steuern:

define( 'WP_AUTO_UPDATE_CORE', 'minor' );  // Standard: nur kleine Versionen
define( 'WP_AUTO_UPDATE_CORE', true );     // auch grosse Versionen
define( 'WP_AUTO_UPDATE_CORE', false );    // nichts automatisch (nicht empfohlen)

Wählen Sie eine der drei Zeilen. Der Standard (minor) ist für die meisten Websites gut; aktualisiert Ihr Installer oder Ihr Hoster grosse Versionen für Sie, ist das ebenfalls in Ordnung.

WordPress unterstützt offiziell nur die neueste grosse Version. Sicherheitsreparaturen werden eine Zeit lang auch auf ältere Versionsreihen zurückportiert, aber darauf dürfen Sie sich nicht verlassen.

Plugins und Themes automatisch

Seit WordPress 5.5 können Sie bei Plugins pro Plugin Automatische Aktualisierungen aktivieren, und bei Design > Themes pro Theme. Schalten Sie das für die meisten Plugins ein: dort liegen die Lücken (Lektion 7.1).

Seit WordPress 6.6 prüft WordPress nach einem automatischen Plugin-Update, ob die Website noch funktioniert. Verursacht das Update einen fatalen Fehler, setzt WordPress die vorherige Version zurück (ein Rollback) und Sie erhalten eine E-Mail. Das fängt das grösste Risiko automatischer Updates auf: eine weisse Seite, die Ihnen erst nach einer Woche auffällt.

Installer wie Installatron (Lektion 2.2) können das ebenfalls: mit einem Backup vorab und einem Rückfall, falls das Update fehlschlägt. Nutzen Sie eines der beiden Systeme bewusst; sie beissen sich nicht, aber Sie wollen wissen, wer was macht.

Ausnahmen, bei denen Sie automatische Updates manchmal ausschalten:

• ein Plugin, bei dem Sie wissen, dass grosse Versionen häufig etwas verändern (ein Seitenbaukasten, ein Webshop-Plugin mit Schnittstellen); aktualisieren Sie das nach einem Test in Staging, aber zügig;
• ein Theme mit Anpassungen direkt in den Dateien. Besser: Setzen Sie diese Anpassungen in ein Child-Theme (Lektion 5.2), dann kann das Parent-Theme ganz normal automatisch bleiben.

Kostenpflichtige Plugins

Kostenpflichtige Plugins erhalten Updates nur, solange Ihre Lizenz läuft. Eine abgelaufene Lizenz bedeutet: keine Sicherheitsupdates. Behalten Sie Ihre Lizenzen im Blick (Lektion 9.4). Und ein kostenpflichtiges Plugin von einer Downloadseite erhält überhaupt keine Updates (Lektion 5.3).

Das verlassene Plugin

Ein Plugin ohne Updates seit langer Zeit, oder das aus dem Plugin-Verzeichnis von wordpress.org entfernt wurde ("Dieses Plugin wurde geschlossen"), erhält keine Reparaturen mehr. Was Sie tun:

1. Schauen Sie, warum. Bei einem geschlossenen Plugin steht oft der Grund dabei (zum Beispiel ein Sicherheitsproblem). Handelt es sich um ein Sicherheitsproblem, reagieren Sie sofort.
2. Suchen Sie eine Alternative, die aktiv gepflegt wird (Lektion 5.3), oder prüfen Sie, ob Sie die Funktion überhaupt noch benötigen.
3. Ersetzen Sie das Plugin in Staging, testen Sie, und entfernen Sie das alte Plugin danach vollständig.

Ein verlassenes Plugin "zur Sicherheit" stehen zu lassen, ist genau das Risiko, das Sie vermeiden wollen.

Änderungsprotokoll lesen

Bei jedem Update gibt es ein Änderungsprotokoll: was sich geändert hat. Bei Dashboard > Aktualisierungen oder auf der Plugin-Seite (Reiter Entwicklung oder Änderungsprotokoll). Achten Sie besonders auf Wörter wie "security", "Sicherheit" oder "fix vulnerability": dann sollten Sie so schnell wie möglich aktualisieren. Und auf "breaking change", "requires PHP 8.x" oder "neue Version von": dann testen Sie erst.

Nach einem Update

• Schauen Sie sich Ihre Website kurz an, einschliesslich der wichtigsten Funktionen (Formular, Warenkorb, Anmelden).
• Lesen Sie die E-Mails von WordPress oder Ihrem Installer über erfolgreiche, fehlgeschlagene oder zurückgerollte Updates. Ein Rollback bedeutet, dass die alte (verwundbare) Version wieder läuft: Beheben Sie das, oft indem Sie auch PHP, Theme oder ein anderes Plugin aktualisieren, oder indem Sie das Plugin ersetzen.
• Schauen Sie im Website-Zustand (Lektion 5.4), ob noch Meldungen vorliegen.

In der Praxis: So sieht es in einem Panel aus

Im Dashboard von WordPress:

1. Dashboard > Aktualisierungen: der Status von WordPress, Plugins und Themes. Hier steht auch, ob automatische Updates für grosse Versionen aktiviert sind.
2. Plugins: in der Spalte Automatische Aktualisierungen pro Plugin "aktivieren" oder "deaktivieren". Oben können Sie mit Mehrfachaktionen mehrere gleichzeitig einschalten.
3. Design > Themes: Klicken Sie auf ein Theme für die Schaltfläche automatische Aktualisierungen.

In Installatron (DirectAdmin) stellen Sie das pro Installation unter Bearbeiten > Einstellungen > Auto-Update ein. In Softaculous (cPanel) und dem WP Toolkit (Plesk) finden Sie dieselbe Auswahl bei den Einstellungen der Installation.

Zusammenfassung

• Bekannte Lücken werden schnell ausgenutzt; Aktualisieren muss schnell, automatisch und rückgängig zu machen sein.
• WordPress installiert kleine Versionen automatisch (seit 3.7); grosse Versionen standardmässig nach einem Klick, oder automatisch, wenn Sie das wählen.
• Schalten Sie automatische Updates für die meisten Plugins und Themes ein; seit 6.6 rollt WordPress fehlgeschlagene Plugin-Updates zurück.
• Eine abgelaufene Lizenz oder ein verlassenes Plugin bedeutet keine Sicherheitsupdates: ersetzen Sie es.
• Lesen Sie das Änderungsprotokoll und die E-Mails nach einem Update; einen Rollback beheben Sie aktiv.

Quiz

Aufgabe

Aufgabe A7.2: Ist Ihr WordPress aktuell? Schauen Sie im Dashboard Ihrer Website bei Dashboard > Aktualisierungen nach, welche Version von WordPress Sie haben, und tragen Sie diese zusammen mit Ihrer Domain ein. Das Programm ruft die neueste Version bei der öffentlichen Versions-API von wordpress.org ab und vergleicht: grün, wenn Sie die neueste Version haben, orange, wenn Sie in derselben grossen Version sind, aber ein kleines Update fehlt, rot, wenn Sie eine ältere grosse Version verwenden. Tragen Sie auch ein, bei wie vielen Plugins automatische Updates aktiviert sind und bei wie vielen nicht, und warum das so ist.

Weiterführende Informationen

Diese Artikel beschreiben die Schritte in den Panels von WebOké; in anderen Panels funktionieren sie ähnlich.

• DirectAdmin Anleitung 13.5: Updates und automatische Updates
• Joomla und WordPress über Installatron aktualisieren
• Fehler 500 oder „kritischer Fehler" auf Ihrer Website (auch nach einem WordPress-Update)
• Automatische Updates einrichten (wordpress.org, Englisch): https://wordpress.org/documentation/article/configuring-automatic-background-updates/