Ein verwundbares WordPress-Plugin aktualisieren – sicher

Auf die korrigierte Version aktualisieren

Jedes verwundbare Plugin im Lauf zeigt seine installierte Version und die Version, die jedes dafür gefundene Problem behebt. Klicke auf „Update to <version> in WordPress“: Das öffnet WordPress → Relvato, wo ein Administrator auf „Update and verify“ klickt. Bei einem Plugin von wordpress.org installiert das Relvato-Plugin genau diese Version — die niedrigste mit allen Fixes, also die kleinste Änderung, die die Lücke schließt. Für ein Plugin, das dort nicht liegt, siehe unten.

Die Karte verfolgt anschließend die Verifizierung: wie viele der erneut ausgeführten Monitore abgeschlossen sind. Das dauert ein paar Minuten.

Wenn ein Monitor bricht

Schlägt ein Monitor, der vor dem Update bestanden hat, jetzt fehl, alarmiert dich Relvato, und die Karte bietet „Undo in WordPress“ an: Ein Klick in WordPress → Relvato stellt deine vorherige Version wieder her und sperrt die korrigierte Version, damit sie nicht erneut installiert wird — Ein Plugin-Update zurückrollen erklärt die Sperre. Die Karte nennt den fehlgeschlagenen Monitor und verlinkt auf seinen Lauf, und auch die Benachrichtigungsglocke informiert dich.

Nach einem Rollback ist die Schwachstelle wieder offen, deshalb bietet die Karte die andere Option an: das Plugin deaktivieren, bis der Autor einen Fix liefert, der auf deiner Website funktioniert. Eine Version, die deine Website bereits beschädigt hat, wird nie wieder angeboten.

Deaktivieren und verifizieren

Für ein Plugin, das Relvato nicht aktualisieren kann — eines ohne korrigierte Version oder ein kostenpflichtiges, dessen Anbieter den Download nicht bereitstellt —, bietet die Karte „Deactivate in WordPress“ an, das ein Administrator mit „Deactivate and verify“ anwendet. Das Relvato-Plugin deaktiviert es, Relvato führt dieselben Monitore erneut aus, und braucht die Website es doch, schaltet „Undo in WordPress“ es mit einem Klick wieder ein.

Relvato deaktiviert nie WooCommerce, was den Shop schließen würde, und auch kein Plugin, von dem andere aktive Plugins abhängen.

Monitore, die nicht laufen konnten

Ein übersprungener Monitor — etwa weil eine Firewall ihn blockiert hat — beweist weder das eine noch das andere; er zählt also nicht, und die Karte meldet ihn als nicht verifiziert. Sind die Monitore nach einer Stunde nicht abgeschlossen, wartet Relvato nicht länger und lässt die Änderung bestehen. Außerdem verifiziert Relvato pro Website immer nur eine Änderung gleichzeitig, sodass ein fehlschlagender Monitor stets auf genau eine Änderung zeigt.

Kostenpflichtige Plugins und Plugins von Anbietern

Ein Plugin, das nicht auf wordpress.org liegt — ein kostenpflichtiges oder eines von der Website seines Anbieters —, kann nur auf die Version wechseln, die sein Anbieter aktuell über WordPress anbietet; diese Version steht deshalb auf der Schaltfläche. Das Relvato-Plugin packt die installierte Version zuerst als ZIP in wp-content/relvato-backups, einen für das Web gesperrten Ordner, und aktualisiert das Plugin dann über den WordPress-eigenen Updater. Bricht ein Monitor, stellt „Undo in WordPress“ dieses Backup wieder her, statt von wordpress.org neu zu installieren.

Stellt der Anbieter den Download nicht bereit — meist, weil die Lizenz des Plugins auf der Website nicht aktiv ist —, sagt die Karte das, statt das Update anzubieten. Aktiviere die Lizenz in den Einstellungen des Plugins und führe den Scan dann erneut aus.

Plugins mit wartendem Update

Der Scan listet außerdem jedes Plugin, für das WordPress ein Update anbietet — auch wenn die installierte Version keine bekannte Schwachstelle hat —, unter „Updates available“, jeweils mit „Update to <version> in WordPress“. Es funktioniert genauso: Die bestandenen Monitore laufen erneut, und bricht einer, machst du das Update mit einem Klick in WordPress rückgängig.

Hat WordPress das Update schon versucht und es hat nicht gegriffen, sagt die Karte das. Entweder ist der Download fehlgeschlagen, oder der Anbieter hat die bereits installierte Version zurückgeschickt — was WordPress als abgeschlossenes Update meldet. Letzteres bedeutet meist, dass die Lizenz des Plugins auf der Website nicht aktiv ist.