WordPress 4.9.3 má rozbité automatické aktualizace, novou verzi musíte nainstalovat ručně

> nebude instalace WordPressu dostávat žádné další bezpečnostní záplaty.
mělo by být spíš
nebude instalace WordPressu dostávat žádné další bezpečnostní záplaty a nové díry.

windows

Zajímalo by mě, kolik si myslíte, že bylo třeba za poslední 2 roky ve WP opravdu závažných bezpečnostních problémů. Velkou část proprietárních systémů považuji za mnohem víc rozbitou a méně bezpečnou než je WordPress.

Ano, to byl tento problém https://lynt.cz/blog/masivni-unorova-infekce-wordpress-webu-2017, díky kterému bylo možné vložit do webu vlastní prostý text. A víte o dalších? Já za problém považuji například toto https://lynt.cz/blog/wordpress-a-cve-2017-8295-rozbor, ale okolí s tím příliš nesouhlasí. Naopak mezi opravdu závažné nepovažuji ty problémy, které vyžadují přístup do administrace a těch je většina - samozřejmě by tyto chyby neměly existovat, ale jsou bohužel běžné i v mnoha systémech na míru a díky potřebě autentifikace je jejich zneužití mnohem méně pravděpodobné. Je také potřeba si uvědomit, že mnoho webů obecně bylo hacknuto kvůli slabému/znovu­použitému heslu. Díky velkému poměru WP webů tak v absolutních číslech ve statistikách WP weby samozřejmě propadají - na žádném jiném systému zdaleka tolik webů neběží.

Jeden web se mi sam aktualizoval, druhy ne. Tak nevim.

Asi že to jeden stihl ještě na rozbitou verzi a druhému to časově vyšlo, až když to opravili.

To není nejlepší postup, autoupdate v základu probíhá pouze pro minor verze - instalují se tedy pouze patche, update na novou řadu je tak nutné stejně provést ručně. Patch chci mít aplikován pokud možno co nejdříve. S kompatibilitou jsou minimální problémy.

minimalni != 0. Ve slusne spolecnosti nema auto-update co pohledavat (prestoze to Dries tlaci pitome i do Drupalu :-( kdyz uz mam byt objektivni ). Webserver nema ze zasady mit write pristup na webserver (krom slozky pro user upload kde to, ale zase nema byt spoustene pres php) protoze je to proste bezpecnostni riziko. Pokud udelam dobry plugin pro WP a pak do nej jednoho dne soupnu backdoor tak ziskam pomerne rychle dost serveru - a to se realne stalo nedavno. Patch muzu chtit mit aplikovan co nejdriv, ale nesmi se tak stat bez predchoziho spusteni testu!

Za mě osobně je zatím minimální == 0, nikdy jsem se nesetkal se situací, kdy minor patch web poškodil a to WP webů udržuji opravdu hodně. Lze namítnout, že zrovna patch 4.9.3 něco rozbil, nicméně to nemá dopad na funkčnost webu.

S tím, že by webserver neměl mít write mimo vybrané složky absolutně souhlasím. Nicméně to by bylo možné pouze v ideálním světě, kde by bylo k dispozici o několik řádů více vývojářů a sysadminů. Vycházím z léty prověřeného faktu, že lidé jsou líní na to, aby se o web pečlivě starali a peníze za profi služby také dát nechtějí/nemohou. Díky tomu tak dnes stále nalezneme ohromné množství webů, kde je třeba stále RCE zranitelnost v PHP maileru a může to být i tím, že prostě nikdo neřekl composeru, že má použít novější verzi (nejsem si jistý na co narážela zmínka o composeru v předchozím příspěvku).

WP core team samozřejmě nevydá nic bez patřičného otestování, ale chápu, že neexistuje test na úplně všechny případy. Jak je z diskuzí patrné, tak někomu update proběhl, je tak možné, že se to projevuje jen ve specifických situacích (zkoumat to ještě podrobněji budu).

S vložením backdooru do populárního pluginu je to samozřejmě také pravda, nicméně to je obecný problém, děje se to s aplikacemi pro mobilní telefony, rozšířeními do prohlížečů a buh ví, kde ještě. Stejně tak se může třeba Mozilla rozhodnout, že začne Firefoxem těžit u uživatelů kryptoměny...

V důsledku bych byl osobně mnohem raději, za rozbitý web (což je věc, která lze vcelku jednoduše detekovat), než za web s bezpečnostní dírou, kde útoční tiše vykrádá uživatelské účty nebo dělá jiné ošklivé věci.

a kdybych to mel podporit jeste nejakym argumentem tak je jednoduchy: composer.

A co třeba Markdown + https://gohugo.io/?