Warum sollten Sie ein WordPress-Update machen?
Das mit Abstand beliebteste Web-Content-Management-System lockt leider auch viele ungeliebte Bots an, die die Seite angreifen und sich dann gerne so tief im System einnisten, dass ein manuelles Entfernen meist unmöglich ist. Also sollte immer wieder ein WordPress-Update gemacht werden. Auf der offiziellen WordPress-Seite gibt es auch regelmäßig Informationen zu Sicherheits-Updates des WordPress-Systems an sich oder auch einiger Plugins.
Viele schauen leider viel zu selten ins Backend und bekommen dann gar nicht mit, dass es wichtige Updates gibt. Ich hatte auch in den letzten Jahren schon zwei Kunden, deren WordPress-Seiten erfolgreich angegriffen wurden. Teilweise wurde hier nicht rechtzeitig auf meine dringende Empfehlung eines WordPress-Updates reagiert. Es sollte hier jedem bewusst sein, dass solch ein Angriff nie persönlich ist. Es geht in den meisten Fällen nur darum, Webspace für Spam- oder Phishing-Seiten zu erzeugen. Dabei lassen sich hier sehr viele Prozesse automatisieren.
Zudem schalten immer mehr Provider alte PHP-Versionen ab. Wer dann die Meldungen über dieses Abschalten seines Providers ignoriert hat, hat dann plötzlich keine funktionierende Seite mehr. Auf der offiziellen WordPress-Seite finden Sie Informationen über die einzelnen WordPress-Versionen und deren PHP-Kompatibilität. Das Gleiche gilt natürlich auch für die Plugins und das verwendete Theme (und u. U. zusätzlich das benutzte Child-Theme).
Vor dem WordPress-Update immer ein Backup machen
Vor einem WordPress-Update sollten Sie auf jeden Fall ein Backup des WordPress-Systems machen!
Je größer der Versionswechsel, desto wichtiger ist das Backup. Oder: Je weiter vorne sich eine Zahl in der Version ändert, desto wichtiger das Backup. Bei einigen Kunden habe ich immer eine Entwicklungsversion liegen. Da kann ich dann „mal schnell“ ein Update testen, ohne dass die Live-Seite beeinträchtigt wird.
Ein Beispiel: Die aktuelle WordPress-Version im Screenshot oben ist 6.7.1. Soll das System auf 6.7.2 aktualisiert werden, kann man das meist gefahrlos „am offenen Herzen“ machen = im Live-System. Zur Sicherheit kann natürlich jederzeit vor dem Update ein Backup gemacht werden. Aber in einer Kopie der Live-Seite mache ich solch ein Update meistens nicht. Ist der Versionssprung von 6.7.1 auf 6.8.X, mache ich auf jeden Fall ein Backup. Ein Update von 6.X auf 7.X mache ich nie im Livesystem.
Der WordPress IST-Zustand & automatisches Aktualisieren
Eine Übersicht des Aktualisierungszustands Ihrer Webseite können Sie über den Menüpunkt „Dashboard/Aktualisierungen“ sehen. Bestenfalls sieht dieser so aus:
Sollte es Updates geben, sieht man das im WordPress-Backend einmal oben neben dem Seitentitel:
Eine Übersicht des In der Pluginliste kann für jedes Plugin eingestellt werden, dass die Aktualisierung automatisch erfolgen soll. Zumindest für die Plugins, die das Frontend nicht beeinflussen, stelle ich das standardmäßig auf „automatisch aktualisieren“. Wurde ein Plugin aktualisiert, wird an die Administrator-E-Mail-Adresse eine E-Mail mit dem Betreff „Einige Plugins wurden automatisch aktualisiert“ geschickt. Bislang kam diese Nachricht bei mir immer mit dem Hinweis „Es ist keine weitere Aktion deinerseits erforderlich.“ an.
Eine Überprüfung findet immer statt, wenn ein Besucher auf die Seite geht. Sollte eine Webseite nicht allzu oft Besucher haben, kann auch ein Cronjob (= kleines Programm auf dem Server, das automatisch in anzugebenden Intervallen ausgeführt wird) eingerichtet werden. Das macht die Seite dann auch etwas schneller.
Aktualisierungen
Hier sind es 8 Aktualisierungen. Das kann WordPress, Plugins oder auch ein Theme sein. Meist sind es mehrere Komponenten. Neben dem Menüpunkt „Plugins“ steht zudem die Anzahl der Plugins, die aktualisiert werden können:
Plugins manuell aktualisieren
Sollte ein WordPress-Update zur Verfügung stehen, ist es sinnvoll zunächst die Plugins und Themes auf den neuesten Stand zu bringen, damit diese dann auch mit der neuen WordPress-Version kompatibel sind. Hier kann es auch durchaus passieren, dass Sie dann nach dem WordPress-Update das ein oder andere Plugin gleich nochmal aktualisieren können. Manche Plugin-Updates sind explizit für eine neuere WordPress-Version gedacht.
Nachdem man ein Plugin auf den neuesten Stand gebracht hat, sollte man
- einmal den Cache leeren und
- das Plugin einmal im Backend und Frontend durchtesten.
Themes aktualisieren
Ähnlich funktioniert es mit den Themes. Hier steht die Update-Verfügbarkeit nur an anderer Stelle. Die automatische Aktualisierung findet man hier in den Theme-Details.
Aber Vorsicht! Wenn Sie das aktuell benutzte Theme aktualisieren können sich im Frontend einige Dinge ändern. U.U. ist sogar die ganze Seite verrutscht oder ähnliches. Wenn Sie hier also auf die Automatik setzen sollten Sie sich Ihre Seite nach dem Update auf jeden Fall anschauen.
WordPress automatisch updaten
WordPress bietet auch für den Kern die Möglichkeit der automatischen Aktualisierung. Ob es ein Update gibt sehen Sie in der Übersicht ganz oben. Dort finden Sie auch Hinweise über die Automatisierungs-Einstellungen. Wenn Sie nichts an den Einstellungen geändert haben sollte hier “Diese Website wird durch alle neuen WordPress-Versionen automatisch auf dem neuesten Stand gehalten.” stehen. Hierfür gibt es in der zentralen WordPress-Konfigurationsdatei zwei Variablen:
AUTOMATIC_UPDATER_DISABLED und WP_AUTO_UPDATE_CORE.
Wie in WordPress üblich werden die in dieser Form in die wp-config.php eingetragen:
define( '<Variable>', WERT );
AUTOMATIC_UPDATER_DISABLED kann zwei Werte haben: true und false
Stellt man ihn auf true werden keine Updates gemacht, im Backend steht dann “Diese Website erhält keine automatischen Aktualisierungen für neue WordPress-Versionen.”. Zusätzlich können dann auch bei den Plugins und Themes die automatischen Updates nicht eingestellt werden. Steht er auf false (Standard) werden Updates automatisch gemacht, im Backend steht dann “Diese Website wird durch alle neuen WordPress-Versionen automatisch auf dem neuesten Stand gehalten.”, für alle Plugins und Themes können individuell Automatische Aktualisierungen aktiviert werden.
WP_AUTO_UPDATE_CORE kann drei Werte haben: true, false und 'minor'. true bedeutet, dass alle Kern-Updates automatisiert sind, bei false werden keine Updates durchgeführt. Steht er auf ‘minor’, werden ausschließlich […] Wartungs- und Sicherheitsaktualisierungen gemacht. Ein Update von 7 auf 8 müsste also manuell gemacht werden.
WordPress manuell aktualisieren
Das WordPress-Kern-System ist in den Verzeichnissen wp-admin und wp-includes, sowie in den PHP-Dateien (außer der wp-config.php) im Root-Verzeichnis enthalten. Also kann ein WordPress-System durch das Tauschen dieser Sourcen auch manuell aktualisiert werden. Das kann auch bei einer infizierten bzw. gehackten WordPress-Installation helfen. Um also ein Sytem zu bereinigen oder zu aktualiseren brauchen Sie nur die oben genannten Verzeichnisse/Dateien durch die des Zielsystems zum Beispiel via FTP zu ersetzen.
Alle WordPress-Versionen finden zum Download auf der WordPress.org-Seite. Hier sind z.B. auch die Versionen ab 2 (von 2008) zu bekommen.
Fazit: Mit regelmäßigen WordPress Sicherheits-Updates halten Sie Ihr System aktuell und sind so weitestgehenst vor Angriffen geschützt.
Und noch ein Tipp: Mit dem Plugin WordFence wird Ihr WordPress nicht nur vor Angriffen geschützt, Sie bekommen hier auch automatisch eine Nachricht, wenn es wichtige Updates in Ihrem System gibt.