Παρακολούθηση των αναβαθμίσεων

Ενότητα 7: Ασφάλεια · Χρόνος ανάγνωσης: 8 λεπτά

Μαθησιακός στόχος: Μετά από αυτό το μάθημα θα μπορείτε να ρυθμίσετε τις αναβαθμίσεις ώστε να γίνονται γρήγορα και με ασφάλεια, και θα ξέρετε τι να κάνετε με ένα πρόσθετο που δεν λαμβάνει πλέον αναβαθμίσεις.

Βασικές έννοιες: μικρή έκδοση, μεγάλη έκδοση, αναβάθμιση ασφαλείας, αυτόματες ενημερώσεις (πυρήνας, πρόσθετα, θέματα εμφάνισης), rollback, αναβαθμίσεις μέσω installer, εγκαταλελειμμένο πρόσθετο, σύνοψη αλλαγών (changelog), περιβάλλον δοκιμών (staging) για μεγάλες αναβαθμίσεις

Γιατί η γρήγορη ενημέρωση είναι πιο σημαντική από την προσεκτική αναμονή

Το μάθημα 7.1 το έδειξε: οι εισβολείς αναζητούν γνωστά κενά ασφαλείας για τα οποία υπάρχει ήδη αναβάθμιση. Ανάμεσα στην εμφάνιση μιας διόρθωσης και τις πρώτες μαζικές σαρώσεις μεσολαβούν μερικές φορές μόνο λίγες ώρες ή ημέρες. Όποιος «περιμένει πρώτα έναν μήνα για να δει αν η αναβάθμιση είναι καλή» παραμένει εκτεθειμένος όλο αυτόν τον μήνα.

Ταυτόχρονα, μια αναβάθμιση μπορεί να χαλάσει κάτι. Η λύση δεν είναι η αναμονή, αλλά να φροντίσετε η ενημέρωση να γίνεται αυτόματα, γρήγορα και να μπορεί να αναιρεθεί:

• μικρές αναβαθμίσεις και αναβαθμίσεις πρόσθετων αυτόματα·
• ένα αντίγραφο ασφαλείας λίγο πριν την αναβάθμιση, με αυτόματη επαναφορά αν κάτι πάει στραβά·
• μεγάλες αναβαθμίσεις δοκιμάζονται πρώτα σε περιβάλλον δοκιμών (staging) (μάθημα 8.3), αλλά μέσα σε ημέρες, όχι μήνες.

Μικρές και μεγάλες εκδόσεις του WordPress

Το WordPress αριθμεί τις εκδόσεις ως 7.1.4:

• Το 7.1 είναι η μεγάλη έκδοση (major release). Κυκλοφορούν μερικές τον χρόνο, με νέες λειτουργίες.
• Το .4 είναι μια μικρή έκδοση (minor release): διορθώσεις και αναβαθμίσεις ασφαλείας, χωρίς μεγάλες αλλαγές.

Από την έκδοση 3.7, το WordPress εγκαθιστά αυτόματα τις μικρές εκδόσεις και τις αναβαθμίσεις ασφαλείας, εκτός αν αυτό έχει απενεργοποιηθεί. Τις μεγάλες εκδόσεις τις εγκαθιστάτε κατά κανόνα εσείς οι ίδιοι, με ένα κουμπί στο Πίνακας Ελέγχου > Αναβαθμίσεις. Στο wp-config.php μπορείτε να ρυθμίσετε αυτή τη συμπεριφορά:

define( 'WP_AUTO_UPDATE_CORE', 'minor' );  // προεπιλογή: μόνο μικρές εκδόσεις
define( 'WP_AUTO_UPDATE_CORE', true );     // και μεγάλες εκδόσεις
define( 'WP_AUTO_UPDATE_CORE', false );    // τίποτα αυτόματα (δεν συνιστάται)

Επιλέξτε μία από τις τρεις γραμμές. Η προεπιλογή (minor) είναι καλή για τους περισσότερους ιστότοπους· αν ο installer σας ή ο πάροχος φιλοξενίας σας αναλαμβάνει τις μεγάλες εκδόσεις για εσάς, αυτό είναι επίσης μια χαρά.

Το WordPress υποστηρίζει επίσημα μόνο την πιο πρόσφατη μεγάλη έκδοση. Οι διορθώσεις ασφαλείας επαναφέρονται για κάποιο διάστημα και σε παλαιότερες σειρές, αλλά δεν θα πρέπει να βασίζεστε σε αυτό.

Πρόσθετα και θέματα εμφάνισης αυτόματα

Από το WordPress 5.5, μπορείτε στα Πρόσθετα να επιλέξετε ανά πρόσθετο Ενεργοποίηση αυτόματων ενημερώσεων, και στο Εμφάνιση > Θέματα ανά θέμα εμφάνισης. Ενεργοποιήστε αυτό για τα περισσότερα πρόσθετα: εκεί βρίσκονται τα κενά ασφαλείας (μάθημα 7.1).

Από το WordPress 6.6, το WordPress ελέγχει μετά από μια αυτόματη αναβάθμιση πρόσθετου αν ο ιστότοπος συνεχίζει να λειτουργεί. Αν η αναβάθμιση προκαλέσει μοιραίο σφάλμα, το WordPress επαναφέρει την προηγούμενη έκδοση (ένα rollback) και λαμβάνετε ένα email. Αυτό καλύπτει τον μεγαλύτερο κίνδυνο των αυτόματων αναβαθμίσεων: έναν λευκό ιστότοπο που τον ανακαλύπτετε μόλις μετά από μια εβδομάδα.

Εργαλεία εγκατάστασης όπως το Installatron (μάθημα 2.2) μπορούν να το κάνουν και αυτά: με ένα αντίγραφο ασφαλείας εκ των προτέρων και επαναφορά αν η αναβάθμιση αποτύχει. Χρησιμοποιήστε συνειδητά ένα από τα δύο συστήματα· δεν αλληλοσυγκρούονται, αλλά θέλετε να ξέρετε ποιος κάνει τι.

Εξαιρέσεις όπου μερικές φορές απενεργοποιείτε τις αυτόματες αναβαθμίσεις:

• ένα πρόσθετο για το οποίο γνωρίζετε ότι οι μεγάλες εκδόσεις αλλάζουν συχνά κάτι (ένα εργαλείο κατασκευής σελίδων, ένα πρόσθετο ηλεκτρονικού καταστήματος με συνδέσεις)· αναβαθμίστε το μετά από δοκιμή σε περιβάλλον δοκιμών (staging), αλλά γρήγορα·
• ένα θέμα εμφάνισης με τροποποιήσεις στα ίδια τα αρχεία. Καλύτερα: τοποθετήστε αυτές τις τροποποιήσεις σε ένα θυγατρικό θέμα (child theme) (μάθημα 5.2), ώστε το γονικό θέμα να μπορεί να αναβαθμίζεται κανονικά αυτόματα.

Πληρωμένα πρόσθετα

Τα πληρωμένα πρόσθετα λαμβάνουν αναβαθμίσεις μόνο όσο ισχύει η άδεια χρήσης σας. Μια ληγμένη άδεια χρήσης σημαίνει: καμία αναβάθμιση ασφαλείας. Παρακολουθείτε τις άδειες χρήσης σας (μάθημα 9.4). Και ένα πληρωμένο πρόσθετο από μια ιστοσελίδα λήψης αρχείων δεν λαμβάνει καθόλου αναβαθμίσεις (μάθημα 5.3).

Το εγκαταλελειμμένο πρόσθετο

Ένα πρόσθετο χωρίς αναβαθμίσεις για μεγάλο χρονικό διάστημα, ή που έχει αφαιρεθεί από τον κατάλογο προσθέτων του wordpress.org («Αυτό το πρόσθετο έχει κλείσει»), δεν λαμβάνει πλέον διορθώσεις. Τι κάνετε:

1. Δείτε τον λόγο. Σε ένα κλειστό πρόσθετο αναφέρεται συχνά ο λόγος (για παράδειγμα ένα ζήτημα ασφαλείας). Αν πρόκειται για ζήτημα ασφαλείας, ενεργήστε αμέσως.
2. Αναζητήστε μια εναλλακτική λύση που συντηρείται ενεργά (μάθημα 5.3), ή εξετάστε αν χρειάζεστε ακόμα αυτή τη λειτουργία.
3. Αντικαταστήστε σε περιβάλλον δοκιμών (staging), δοκιμάστε και αφαιρέστε στη συνέχεια εντελώς το παλιό πρόσθετο.

Το να αφήνετε ένα εγκαταλελειμμένο πρόσθετο «για κάθε ενδεχόμενο» είναι ακριβώς ο κίνδυνος που θέλετε να αποφύγετε.

Ανάγνωση της σύνοψης αλλαγών (changelog)

Σε κάθε αναβάθμιση υπάρχει μια σύνοψη αλλαγών (changelog): τι έχει αλλάξει. Στο Πίνακας Ελέγχου > Αναβαθμίσεις ή στη σελίδα του πρόσθετου (καρτέλα Development ή Changelog). Προσέξτε ιδιαίτερα λέξεις όπως «security», «ασφάλεια» ή «fix vulnerability»: τότε θέλετε να αναβαθμίσετε το συντομότερο δυνατόν. Και λέξεις όπως «breaking change», «requires PHP 8.x» ή «νέα έκδοση του»: τότε δοκιμάζετε πρώτα.

Μετά από μια αναβάθμιση

• Ρίξτε μια ματιά στον ιστότοπό σας, συμπεριλαμβανομένων των σημαντικότερων λειτουργιών (φόρμα, καλάθι αγορών, σύνδεση).
• Διαβάστε τα email από το WordPress ή τον installer σας σχετικά με επιτυχημένες, αποτυχημένες ή αναιρεμένες αναβαθμίσεις. Ένα rollback σημαίνει ότι η παλιά (ευάλωτη) έκδοση λειτουργεί ξανά: λύστε το, συχνά αναβαθμίζοντας επίσης την PHP, το θέμα εμφάνισης ή κάποιο άλλο πρόσθετο, ή αντικαθιστώντας το πρόσθετο.
• Ελέγξτε στο Υγεία ιστότοπου (μάθημα 5.4) αν υπάρχουν ακόμα ειδοποιήσεις.

Στην πράξη: έτσι φαίνεται σε έναν πίνακα διαχείρισης

Στη διαχείριση του WordPress:

1. Πίνακας Ελέγχου > Αναβαθμίσεις: η κατάσταση του WordPress, των προσθέτων και των θεμάτων εμφάνισης. Εδώ φαίνεται επίσης αν είναι ενεργοποιημένες οι αυτόματες αναβαθμίσεις για τις μεγάλες εκδόσεις.
2. Πρόσθετα: στη στήλη Αυτόματες Ενημερώσεις ανά πρόσθετο «ενεργοποίηση» ή «απενεργοποίηση». Στο επάνω μέρος μπορείτε με τις Μαζικές ενέργειες να ενεργοποιήσετε πολλά ταυτόχρονα.
3. Εμφάνιση > Θέματα: κάντε κλικ σε ένα θέμα εμφάνισης για το κουμπί αυτόματων ενημερώσεων.

Στο Installatron (DirectAdmin) το ρυθμίζετε ανά εγκατάσταση στο Επεξεργασία > Ρυθμίσεις > Αυτόματη ενημέρωση. Στο Softaculous (cPanel) και στο WP Toolkit (Plesk) βρίσκεται η ίδια επιλογή στις ρυθμίσεις της εγκατάστασης.

Σύνοψη

• Τα γνωστά κενά ασφαλείας εκμεταλλεύονται γρήγορα· η ενημέρωση πρέπει να γίνεται γρήγορα, αυτόματα και με δυνατότητα αναίρεσης.
• Το WordPress εγκαθιστά αυτόματα τις μικρές εκδόσεις (από την 3.7)· τις μεγάλες εκδόσεις κατά κανόνα μετά από ένα κλικ, ή αυτόματα αν το επιλέξετε.
• Ενεργοποιήστε τις αυτόματες αναβαθμίσεις για τα περισσότερα πρόσθετα και θέματα εμφάνισης· από την 6.6 το WordPress αναιρεί τις αποτυχημένες αναβαθμίσεις προσθέτων.
• Μια ληγμένη άδεια χρήσης ή ένα εγκαταλελειμμένο πρόσθετο σημαίνει καμία αναβάθμιση ασφαλείας: αντικαταστήστε το.
• Διαβάστε τη σύνοψη αλλαγών και τα email μετά από μια αναβάθμιση· ένα rollback το επιλύετε ενεργά.

Κουίζ

Άσκηση

Άσκηση A7.2: Είναι ενημερωμένο το WordPress σας; Δείτε στη διαχείριση του ιστότοπού σας στο Πίνακας Ελέγχου > Αναβαθμίσεις ποια έκδοση του WordPress έχετε και συμπληρώστε την, μαζί με το domain σας. Το πρόγραμμα ανακτά την πιο πρόσφατη έκδοση από το δημόσιο API εκδόσεων του wordpress.org και συγκρίνει: πράσινο αν έχετε την πιο πρόσφατη έκδοση, πορτοκαλί αν βρίσκεστε στην ίδια μεγάλη έκδοση αλλά σας λείπει μια μικρή αναβάθμιση, κόκκινο αν τρέχετε παλαιότερη μεγάλη έκδοση. Συμπληρώστε επίσης πόσα πρόσθετα έχουν ενεργοποιημένες τις αυτόματες αναβαθμίσεις και πόσα όχι, και γιατί όχι.

Περαιτέρω ανάγνωση

Αυτά τα άρθρα περιγράφουν τα βήματα στους πίνακες διαχείρισης του WebOké· σε άλλους πίνακες λειτουργούν με παρόμοιο τρόπο.

• Εγχειρίδιο DirectAdmin 13.5: Ενημερώσεις και αυτόματες ενημερώσεις
• Ενημέρωση Joomla και WordPress μέσω Installatron
• Σφάλμα 500 ή «κρίσιμο σφάλμα» στον ιστότοπό σας (ακόμη και μετά από ενημέρωση WordPress)
• Ρύθμιση αυτόματων ενημερώσεων (wordpress.org, στα αγγλικά): https://wordpress.org/documentation/article/configuring-automatic-background-updates/