WordPress släppte säkerhetsrättningar på alla versioner som stöds den 17 september. Rekommendationen var att uppdatera direkt. Rättningen finns alltså. Två dagar senare är frågan om den ligger på din sajt. Och vem som såg till att den gjorde det.
Vad som släpptes den 17 september
Uppdateringen är en ren säkerhetsuppdatering och gick ut brett. Den nyaste versionen fick nummer 7.0.5. Samma rättningar lades sedan in i 6.9.8, 6.8.9, 6.7.8 och äldre versioner som fortfarande stöds. Du behöver alltså inte byta till en ny huvudversion för att få säkerhetsrättningar. Det räcker att du ligger på den senaste lilla uppdateringen av din egen version.
Sju säkerhetshål täpptes till. Ett av dem gjorde att en förberedd länk kunde installera och förhandsvisa ett tema. Ett annat gällde skadlig kod i egna sidhuvudsbilder på vissa teman. Ett tredje kunde visa rubriken på ett privat inlägg som låg under ett annat.
Inget av hålen tar ned en sajt på egen hand. De flesta kräver att angriparen redan har ett konto på sajten. Det gör dem inte ofarliga. På en sajt där vem som helst kan registrera sig är ett enkelt medlemskonto lätt att komma över. Men det är ett mindre allvarligt läge än ett hål som går att utnyttja helt utifrån.
WordPress uppdaterar sig själv, och det kostar inget
Här kommer en del som talar emot vår egen kategori. WordPress installerar säkerhetsuppdateringar automatiskt sedan version 3.7. Det gäller oavsett om du betalar 74 kronor i månaden för ett vanligt webbhotell eller 499 för en managed-tjänst. Din sajt fick med stor sannolikhet rättningen natten till den 18 september utan att någon behövde göra något.
Det finns undantag. Automatiken kan vara avstängd genom en inställning i filen wp-config.php. Den kan också vara avstängd av ett tillägg som tagit över uppdateringarna, eller av en leverantör som låser filerna. Har någon en gång stängt av den för att slippa en trasig uppdatering ligger den oftast kvar avstängd.
Slutsatsen är enkel. Den som säljer managed WordPress med argumentet att WordPress hålls uppdaterat säljer något du redan har gratis. Det är värt att säga rakt ut, eftersom det står i nästan varje funktionslista i den här kategorin.
Hålen sitter i tillägg och teman
Själva WordPress är sällan vägen in för en angripare. Det som brukar bli ett problem på en svensk WordPress-sajt är i stället ett tillägg som inte uppdaterats, eller ett tema från en leverantör som slutat underhålla det. Två av hålen i den här uppdateringen gäller dessutom teman direkt.
Tillägg och teman uppdateras inte automatiskt från början. Du kan slå på det för varje tillägg inne i adminpanelen. Då slår du samtidigt på risken att en uppdatering körs mitt under en kampanj utan att någon tittar efteråt. En managed-tjänst tar över den avvägningen åt dig. Uppdateringarna körs först mot en kopia av sajten och backas tillbaka om något går sönder.
Där går också gränsen för vad tjänsten löser. Managed WordPress skyddar dig inte mot ett svagt lösenord på adminkontot. Den skyddar dig inte mot en anställd som klickar i ett bluffmejl. Och den skyddar dig inte mot ett tillägg där utvecklaren själv lägger in skadlig kod. Att slå på tvåstegsinloggning på alla adminkonton ger mer säkerhet per krona än någon hostingnivå.
Vad automatiken kostar när den går fel
Automatiska uppdateringar har ett pris som sällan står i marknadsföringen. Ibland går de sönder. Ett tillägg slutar fungera mot en ny version av WordPress. Ett tema bygger på en funktion som tagits bort. En betalningsmodul tystnar mitt i en helg. Ju fler uppdateringar som körs utan att någon tittar, desto större är risken att det smäller när du inte är där.
Därför hör test och backup ihop med automatiken. Testa uppdateringen mot en kopia av sajten innan den går live. Ha en säkerhetskopia som bara är några timmar gammal när något ändå går fel. Det är skillnaden mellan en kris och en kvart.
När du jämför managed WordPress är frågan alltså inte om uppdateringarna sköts. Fråga i stället hur ofta backupen tas. Fråga hur långt tillbaka den går. Och fråga om uppdateringen testas på en kopia innan den når besökarna.
Så kontrollerar du din egen sajt
Logga in i adminpanelen. Gå till Verktyg och sedan Webbplatshälsa. Under fliken Status ser du om du kör en version med kända säkerhetsproblem och om de automatiska uppdateringarna är påslagna. Är de avstängda står det där.
Kontrollera sedan versionsnumret under Uppdateringar. Ligger du på den senaste lilla uppdateringen av din version är du med. Ligger du flera steg efter har automatiken inte kört på ett tag. Då saknar du även alla rättningar som kom innan den här.
Passa på att gå igenom listan med tillägg och teman medan du är inne. Det är där arbetet finns. Och det är den delen ingen leverantör gör åt dig om du inte betalar någon för det.
