Für WordPress gab es diese Woche ja zwei Sicherheitsupdates, die das Pekt auf die Version 4.9.3 und dann auf 4.9.4 gehoben haben. Die Version 4.9.3 hat dabei die Möglichkeit für Auto-Updates in WordPress zerschossen.
Anzeige
Am Montag erschien WordPress Version 4.9.3, ein Wartungsupdate, welches mehrere Fehler behob. Ich hatte im Blog-Beitrag WordPress 4.9.3 erschienen darüber berichtet. Leider ist den WordPress-Entwicklern dabei ein Fehler unterlaufen. Nach Installation dieser WordPress-Version war das automatisch Background-Update-System kaputt. Sprich: Ein WordPress-Blog konnte sich nicht mehr selbsttätig auf neuere Versionen aktualisieren.
WordPress Version 4.9.4 als Bug-Fix
Als das bemerkt wurde, schoben die WordPress-Entwickler flugs die Version 4.9.4 nach. Problem war aber, dass diese Version durch das kaputte automatische Background-Update-System nicht mehr selbst installiert wurde.
Mir war das zwar aufgefallen, weil bei einem meiner Blogs gemeldet wurde, dass die Version 4.9.4 anstände. Da ich aber Blogs mit und ohne Auto-Update habe, konnte ich das zuerst nicht richtig einordnen. Dachte, dass ich einen Blog mit manuellem Update erwischt hätte.
Ließ sich leicht beheben: Einfach im Dashboard angemeldet und dann das manuelle Update angestoßen. Kurze Zeit später war die neue WordPress-Version erfolgreich installiert. Erst durch diesen Artikel wurde mir bewusst, dass bei WordPress etwas schief gelaufen war.
Konkret betraf es aber nur WordPress-Installationen, die von Version 4.9.2 auf 4.9.3 aktualisiert wurden. Ein paar Details finden sich in diesem WordFence-Blog-Beitrag.
Kein Fix für CVE-2018-6389
Ich war eigentlich der Meinung, dass die von Barak Tawily berichtete Sicherheitslücke CVE-2018-6389 in WordPress 4.9.3 behoben sei. Über die Sicherheitslücke kann man einen Denial of Service (DoS)-Angriffe auf die WordPress fahren. Über ein Script lässt sich die WordPress-Installation zum Absturz bringen. Laut diesen Artikel ist diese Schwachstelle aber bis zur WordPress Version 4.9.4 nicht behoben.
Ähnliche Artikel:
WordPress 4.9.3 erschienen
WordPress 4.9.4 erschienen
2015
Ich betreibe/betreue eine Website, die nicht mit Word-Press gemacht ist. In meiner Statistik gab es schon immer versuchte Zugriffe auf WordPress-Dateien, die dann klarerweise als 404-er Fehler in der Statistik aufscheinen, da es WP-Dateien bei mir nicht gibt. Bisher waren das ca. 500-600 pro Monat, seit Ende Dezember gibt es da aber einen sprunghaften Anstieg, im Jänner waren es über 2.200, im Februar geht es so weiter, denn bis heute hatte ich schon 1100, also werden es im Februar so 3.100 sein, also noch einmal eine Zunahme.
WordPress-Seiten liegen offensichtlich im Fokus von Bot's und es rentiert sich, dort in den Dateien nach Daten zu suchen.