У команды разработчиков ядра WordPress была насыщенная событиями пятница, когда из-за ошибки в системе автоматического обновления сайты обновились до WordPress 5.5.3-alpha-49449, включая рабочие сайты без определенных констант автообновления.
Те, кто получил электронное письмо об обновлении, вошли на свои сайты и увидели сообщение: «БЕТА-ТЕСТЕРЫ: этот сайт настроен для автоматической установки обновлений будущих бета-версий».
Шон Риман зарегистрировал первую заявку на обновление сайтов до версии 5.5.3-alpha-49449 , которая, кстати, также была его первой заявкой на WordPress Trac. Больше пользователей и разработчиков подтвердили проблему.
«Стоит отметить, что функциональной разницы между 5.5.2 и 5.5.3-alpha нет, так что в этом отношении не о чем беспокоиться», – сказал основной коммитер Джон Блэкборн.
На случайно обновленных сайтах также были установлены все темы по умолчанию, выпущенные за последнее десятилетие, а также Akismet. Разработчикам нужно будет вручную удалить связанные темы, которые им не нужны.
Менее чем за час все затронутые сайты были автоматически возвращены к 5.5.2, но инцидент подорвал доверие и подорвал доверие к системе автоматического обновления. Некоторые комментирующие тикет спрашивали, как они могут явно отключить обновления для разработки.
«Беспокоит то, что один разработчик может сделать это, по-видимому, без какой-либо проверки или подтверждения со стороны других разработчиков», – сказал разработчик из Великобритании Пол Стеннинг. «Это серьезная проблема безопасности, поскольку мошеннический разработчик может выпустить вредоносный код в обновлении, которое никто не проверяет».
Владелец агентства WordPress Роб Мигчелс, у которого было затронуто около 50 веб-сайтов, отследил 18 минут между запросом trac ( # 51679 ) и получением исправления.
«Проблема с версией 5.5.3-alpha является побочным эффектом другой проблемы, которая возникла в версии 5.5.2», – сказала инженер WordPress и руководитель выпуска версии 5.6 Triage Тоня Морк. Джейк Сперлок опубликовал официальное заявление об инциденте в примечаниях к выпуску 5.5.3 :
«Сегодня, примерно с 15:30 до 16:00 UTC, система автоматического обновления WordPress обновила некоторые сайты с версии 5.5.2 до версии 5.5.3-alpha. Это автоматическое обновление произошло из-за ошибки в API обновлений, вызванной подготовкой к выпуску 5.5.3 ».
Сперлок подробно остановился на технических деталях в отдельном посте в блоге разработчиков WordPress:
Пока велась работа по подготовке WordPress 5.5.3, группа разработчиков попыталась сделать 5.5.2 недоступным для загрузки на WordPress.org, чтобы ограничить распространение проблемы, отмеченной в разделе выше, поскольку ошибка затрагивала только новые установки. Это действие привело к обновлению некоторых установок до предварительной версии «5.5.3-alpha».
В такой ситуации, когда пользователи, которые не решили запускать свои живые сайты в бета-версиях, получают принудительное обновление, владельцы сайтов могут задаться вопросом, действительно ли это обновление поступает из WordPress или система была взломана.
Исследователь безопасности Славко Михайлоски, который на прошлой неделе прокомментировал отсутствие прозрачности в том, как тестируются и выполняются автоматические обновления, сказал, что этот инцидент подчеркивает необходимость большей открытости процесса.
«Почему важна прозрачность? Поскольку процедура станет общедоступной, и когда она станет публичной, сообщество сможет внести свой вклад в ее улучшение », – сказал Михайлоски. «На данный момент более чем очевидно, что этому процессу и всей безопасности в WP.dot org не хватает QA и QC. Каждая задача предоставляется индивидуальной или закрытой группе. Представьте себе следующее: что, если автоматическое обновление безопасности может быть запущено только в том случае, если: – Органы власти X из Y (где X <Y) согласны с тем, что обновление в порядке – иметь пилотное обновление, скажем, на 100 различных серверах (я надеюсь, что .org может позволить себе это), где регрессионные тесты будут запускаться против каждого из них. Текущих проблем не возникнет ».
Автоматические фоновые обновления для второстепенных выпусков сэкономили разработчикам тысячи часов на обновлении сайтов. Пользовательский интерфейс, позволяющий пользователям выбирать автоматические обновления для основных выпусков, находится в дорожной карте WordPress 5.6, которая ожидается в начале декабря.
Это конкретное случайное обновление выдало для многих разработчиков слабое доверие к системе автообновлений. Это не укрепляет уверенности в том, что идея основных обновлений будет выпущена после выпуска 5.6, но это не значит, что автоматические обновления – не лучшая идея. WordPress.org потребуется внедрить более эффективные процессы, чтобы вернуть доверие пользователей.
Инцидент затронул более 100 сайтов владельца агентства WordPress Роберта Стаддона. Он сообщает, что все они отображали кнопку «Обновить сейчас» с запутанным и неправильным текстом, показанным ниже. Стаддон сказал, что инцидент еще не заставил его изменить свой подход к разрешению клиентам получать автоматические обновления.
«Я был очень благодарен за чрезвычайно быстрое время отклика, позволившее устранить проблему», – сказал Стаддон. «Тем не менее, это пошатнуло мою уверенность в процессе автоматического обновления WordPress. Учитывая количество веб-сайтов, использующих WordPress, ошибка такого масштаба может иметь катастрофические последствия для всей сети. Я надеюсь, что основная команда сможет оценить, как это произошло, и рассмотреть возможность проведения некоторых проверок, чтобы убедиться, что это не повторится снова ».
