Sicherheitsnotiz

Seit heute ist das neue WordPress mit der Versionsnummer 3.7 verfügbar. Die größte Neuerung ist das automatische Update. Mindestens seit Version 3.0 hat WordPress eine Funktion um ein automatisches Update anzustoßen, wenn denn eine neue WordPressversion verfügbar ist. Nach der offiziellen Ankündigung werden Punkt-Releases (beispielsweise von Version 3.7 auf Version 3.7.1) automatisch abgefragt und installiert. Bei Core-Releases von 3.7 auf 3.8 ist immer noch Handarbeit notwendig.

Bei sogennten Punkt-Releases oder Minor-Releases entsteht somit ein Updatezwang auf die neuere ud somit aktuellere Version, den der User nur mit Frickelarbeit am Quellcode von WordPress beheben kann. Automatische Sicherheitsupdates sind schon vorteilhaft, gehen aber manchmal – gerade bei auftretenden Fehlern (nicht jedes System ist gleich) – zu Lasten des Produktivsystems. Und die meisten Blogs werden doch gleich als Produktivsystem genutzt. Es sollte deswegen vorher beim Betreiber abgefragt werden, ob ein automatisches Update durchgeführt werden sollte um Fehler zu minimieren. Auch Plugins müssen eventuell an neuere Versionen von WordPress erst angepasst werden um auch mit neueren Versionen von WordPress optimal zu laufen.

Jedenfalls bekommt WordPress von mir eine heftige Rüge, weil man in der offiziellen Anwendung nicht erwähnt, wie man diesen Updater abschalten kann. Sicher ein automatisches Update von WordPress ist schon an einigen Stellen recht sinnvoll, da man wichtige Sicherheitsupdates nicht vergisst und einige unerfahrenere Blogger somit an die Hand genommen werden und Gefrickel beim Update zu vermeiden. Aber das ganze geht zu Lasten des Produktivsystems, da sich mit der Automatik Fehler einschleichen können.

Update 27. Oktober 2013 Die Community hat sich etwas einfallen lassen. Ein Plugin, welches das die Zwangsupdatefunktion deaktiviert gibt es mittlerweile auch schon. Das Plugin wurde unter dem grandiosen Namen Disable Automatic Updates auf der offiziellen WordPresseite für Plugins veröffentlicht. Diese neue Funktion richtet sich gerade an technisch weniger versierte Nutzer, die keine Zeit, Lust oder Erfahrung in Scriptsprachen haben und in WordPress selbst keine Änderungen vornehmen wollen. Der Link dazu folgt in der Linkliste wie üblich am Ende des Artikels. Update vom 27. Oktober 2013 Ende

Eine der folgende Codezeilen kann man in die wp-config.php einfügen, um das automatische Update zu deinstallieren. Die kurzen Erklärungen sind grau hinterlegt und auskommentiert. Wichtig sind prinzipiell nur die farbigen Zeilen.

/* Automatische Updates vollständig aktivieren. 
(Achtung! Auch für Versionssprünge - Lieber selber durchführen!) */
define( 'WP_AUTO_UPDATE_CORE', true );
// Automatische Updates deaktivieren.
define( 'WP_AUTO_UPDATE_CORE', false );
/* Automatische Updates für kleinere Sachen aktivieren. 
Security Updates etc.*/
define( 'WP_AUTO_UPDATE_CORE', 'minor' );

In einer offiziellen Stellungnahme wird folgendes Vorgeschlagen, man beachte aber, daß hiermit vermutlich der gesamte Updater abgeschalten wird und somit auch nicht nach geupdateten Plugins und Themes gesucht wird.

define( 'AUTOMATIC_UPDATER_DISABLED', true );

Um die Verwirrung noch größer zu machen, kann man mit Hilfe der beiden Filter auch den Updater einiges verbieten oder erlauben.

automatic_updater_disabled

auto_update_coreD

Für Bastler gibt es dazu noch einige Optionen in der Datei functions.php zum Ändern, fals ihnen die obigen Möglichkeiten nicht ausreichen:

//Allow auto updates of development releases ie alpha, beta and RC
add_filter( 'allow_dev_auto_core_updates', 'wp_control_dev_auto_updates' );
function wp_control_dev_auto_updates( $value ) {
// return true to enable and false to disable
return true;
}
 
//Allow auto updates of minor releases ie 3.7.1, 3.7.2
add_filter( 'allow_minor_auto_core_updates', 'wp_control_minor_auto_updates' );
function wp_control_minor_auto_updates( $value ) {
// return true to enable and false to disable
return true;
}
 
//Allow auto updates of major releases ie 3.7, 3.8, 3.9
add_filter( 'allow_major_auto_core_updates', 'wp_control_major_auto_updates' );
function wp_control_major_auto_updates( $value ) {
// return true to enable and false to disable
return true;
}
 
// Allow auto theme updates
add_filter( 'auto_update_theme', 'wp_control_theme_auto_updates' );
function function wp_control_theme_auto_updates( $value ) {
// return true to enable and false to disable
return true;
}
 
// Allow auto plugin updates
add_filter( 'auto_update_plugin', 'wp_control_plugin_auto_updates' );
function function wp_control_plugin_auto_updates( $value ) {
// return true to enable and false to disable
return true;
}
 
// Allow auto language updates
add_filter( 'auto_update_translation', 'wp_control_translation_auto_updates' );
function function wp_control_translation_auto_updates( $value ) {
// return true to enable and false to disable
return true;
}

Eine weitere wichtige Neuerung ist die Vorschlagfunktion für stärkere Passworter. Denn diese sind immer noch wichtigste Schutz und sollten auch öfters einmal getauscht werden. Es ist schon kurios, daß man das vielen Internetnutzern immer wieder unter die Nase binden muß.

Weiterhin bringt WordPress 3.7 einen Assistenten für die automatische Installation der richtigen Sprachdatei mit. Es gibt Menschen, die das System lieber in ihrer Muttersprache als im englischen Original nutzen wollen.

Links:

1. WordPress Offizielle Ankündigung WP 3.7
2. WordPress Automatischer Updater
3. WordPress Plugin: Disable Automatic Updates