“Jeg opdaterer dem når jeg får tid” — det er den sætning jeg hører oftest fra ejere af hackede WordPress-sites. Her er hvorfor opdateringer ikke er noget du kan udskyde.
Hvad sker der når en sårbarhed offentliggøres
Når WordPress eller et plugin-udviklerfirma udgiver en sikkerhedsopdatering sker der præcis dette:
- Opdateringen frigives med et changelog der beskriver hvad der er rettet
- Sikkerhedsforskere og hackere læser dette changelog
- De identificerer præcis hvilken sårbarhed der er patchet
- Automatiserede scannere begynder at scanne internettet for sites der ikke har opdateret
- Angreb starter typisk inden for 24-72 timer efter offentliggørelsen
Det er ikke en teoretisk trussel. Det er dokumenteret, gentaget adfærd. Du har et meget snævert vindue.
De tal der gør det konkret
Ifølge Wordfence’s sikkerhedsrapporter er 97% af WordPress-hacks muliggjort af én af tre ting:
- Forældet plugin med kendt sårbarhed
- Svagt eller genbrugt kodeord
- Nulled (piratkopieret) tema eller plugin
Kun 3% skyldes zero-day angreb. Det betyder at næsten alle hacks kunne være undgået med opdateringer og grundlæggende hygiejne.
“Men mine opdateringer brækkede siden engang”
Det sker. Men løsningen er ikke at undlade at opdatere. Løsningen er:
1. Automatisk backup inden opdatering — UpdraftPlus kan konfigureres til at tage backup automatisk inden opdateringer køres. Hvis noget går galt, gendanner du med ét klik.
2. Opdater i staging-miljø — har du et testsite kan du opdatere der først og verificere at alt virker inden du ruller det ud på live-sitet.
3. Opdater regelmæssigt, ikke sjældent — jo længere du venter, jo større er chancen for konflikter. Sites der opdateres ugentligt oplever langt færre problemer end sites der opdateres sjældent med mange opdateringer på én gang.
Hvilke opdateringer er vigtigst?
WordPress kerne-opdateringer — installer altid hurtigt, særligt sikkerhedsopdateringer markeret med Security Release.
Plugin-opdateringer — særligt for plugins der håndterer formularer, betalinger, login eller filupload.
Tema-opdateringer — vigtige men typisk ikke lige så kritiske som plugins.
Inaktive plugins og temaer — slet dem. De er stadig sårbare selvom de er deaktiverede.
Automatiske opdateringer — godt eller skidt?
Fordele: Sikkerhedsopdateringer installeres øjeblikkeligt uden menneskelig handling.
Ulemper: En automatisk opdatering kan brække din side midt på en arbejdsdag uden at nogen opdager det med det samme.
Anbefaling: Slå automatiske opdateringer til for WordPress kerne-sikkerhedsopdateringer. For plugins: brug et overvågningsværktøj eller en webmaster-aftale der håndterer det kontrolleret.
Den praktiske løsning
De fleste virksomheder er bedst tjent med en fast webmaster-aftale der inkluderer:
- Ugentlig gennemgang og installation af tilgængelige opdateringer
- Automatisk backup inden hver opdatering
- Overvågning der opdager hvis noget går galt
- Hurtig reaktion hvis en opdatering forårsager problemer
Se vores webmaster-aftaler — fra 1.299 kr/md ekskl. moms. Eller kontakt mig direkte hvis du har spørgsmål.