Feature-Preview: Automatische Updates für Themes und Plugins in WordPress

Mit der für Anfang August geplanten Version WordPress 5.5 sollen auch automatische Plugin- und Theme-Updates in den Core übernommen werden. Das Feature wird, wie für große Neuerungen üblich, in einem sog. Feature-Plugin separat entwickelt und dann in den Core übernommen. Wir haben für dich schon mal einen Blick auf die Beta geworfen. Beachte bitte: Die genaue Darstellung kann sich natürlich noch ändern, schließlich handelt es sich um eine Beta-Version. ;-)

Das Aktivieren der automatischen Updates für einzelne Plugins ist denkbar einfach. Warum nur für einzelne Plugins? Dazu später mehr. In der Liste der installierten Plugins gibt es aber nun eine weitere Spalte. Hier wird für jedes Plugin der Status angezeigt, ob autmatische Updates aktiviert sind oder nicht. Außerdem ist ein jeweiliger Button zum Ändern des Status zu sehen.

Für Plugins, bei denen das Auto-Update-Feature nicht aktiviert ist, ändert sich nichts. Ist jedoch ein Update verfügbar, wird der bekannte gelb hinterlegte Update-Hinweis angezeigt. Sind für ein Plugin automatische Updates aktiv, wird zusätzlich zu dem Update-Hinweis die Information angezeigt, wann das Update automatisch installiert wird.

Für Themes sieht das ähnlich aus: Hier findest du den Button zum Aktivieren in der Detailansicht des Themes. Und auch hier werden an dieser Stelle Informationen zum geplanten Update-Zeitpunkt angezeigt.

Das war's eigentlich auch schon zum Vorgehen. Weitere Details zu dem Thema möchte ich dir aber nicht vorenthalten. Daher hier noch ein paar Hintergrundinfos. 

WordPress hat unter den Content Management Systemen einen Marktanteil von ~60% und ist damit der unangefochtene Platzhirsch. Gleichzeitig ist der Quelltext des Cores und vieler Plugins Open Source. Das bedeutet: Jeder kann sich die Quellen anschauen und nach Lücken suchen. Software und insbesondere so ein komplexes System wie WordPress kann nicht perfekt und ohne Fehler sein. Sobald eine neue Version veröffentlicht wird, kann so zum Beispiel auch jeder sehen, welche Lücken geschlossen wurden. Die Angriffsmöglichkeiten werden so quasi auf dem Silbertablett serviert. Genau deshalb ist es wichtig, Updates möglichst zeitnah zu installieren!

Einige mögen sich vielleicht denken: „Wer sollte mich schon angreifen, ich habe doch nur eine kleine Seite“ Dazu sei erklärt: Viele der Angriffe richten sich nicht gegen spezifische Seiten. Vielmehr kommen sie von automatisierten Bots, die die Anfragen an zufällige Seiten schicken. Ziel ist hierbei oft, Maleware oder Links zu fragwürdigen Seiten zu verbreiten oder die Server-Leistung für ein Bot-Netz zu nutzen. Und das kann wirklich jeden treffen.

Ein regelmäßiges Update ist mit einer Instandhaltung eines Autos zu vergleichen. Schließlich wechselst du bei deinem Auto ja auch regelmäßig die Reifen, tankst nach, machst einen Ölwechsel und lässt alle zwei Jahre den TÜV erneuern.

Bisher wurden automatische Updates für alle Nutzer nur bei sehr kritischen Fehlern in sehr häufig genutzten Plugins durchgeführt. Solche Entscheidungen werden vom WordPress Security Team getroffen, welches das Risiko der Lücke und einer möglichen Inkompatibilität abwägen muss. 

Und da sind wir auch schon bei einem der wichtigsten Gründe, warum automatische Updates für Plugins bisher nicht vorgesehen waren. Denn bei der Vielzahl an Plugins, die sich allein im offiziellen Repository befinden – zum Zeitpunkt des Artikels ~57,060 –, kann es durchaus vorkommen, dass Plugins sich gegenseitig in die Quere kommen. Das kann zum Beispiel passieren, wenn zwei Plugins in dieselbe Komponente eingreifen oder  eine sehr ähnliche Funktionalität umsetzen wollen. 

Es kann aber auch vorkommen, dass zwei Plugins sich zunächst gut miteinander „vertragen“. Doch dann wird das eine Plugin mit einem Update leicht angepasst. Und durch diese Anpassung kommt es erst dann zu einem Konflikt der beiden Plugins. Damit das nicht im Hintergrund passiert, wenn der Betreiber der Seite es nicht mitbekommt, wurden Plugin-Updates bisher manuell per Knopfdruck gestartet.

In den letzten Jahren hat sich bei den Plugins aber viel getan. Zudem halten sich die Entwickler immer mehr an die Entwicklungsstandards, und Inkompatibilitäten sind sehr viel seltener geworden. Außerdem kannst du die Updates auch nur für bestimmte Plugins aktivieren. Beispielsweise für solche, denen du vertraust und mit denen du bei Updates gute Erfahrungen gemacht hast. Andere Plugins können ja weiterhin manuell installiert werden. Zur höchsten Sicherheit führst du am besten im Anschluss noch manuelle Tests durch.

Für Profis gibt es Auto-Updates für Themes und Plugins tatsächlich auch schon eine Weile. Allerdings sind sie als Filter versteckt, den man nur in einem Plugin mit selbst geschriebenem PHP-Code aktivieren kann. Daher ist dieses Feature nicht in der breiten Masse angekommen und wurde nur relativ spärlich genutzt.

Die Auto-Updates für Themes und Plugins sind der nächste Schritt, um das Pflegen von WordPress Websites weiter zu vereinfachen. Dafür wird die Funktion, die bisher größtenteils Entwicklern vorbehalten war, für alle Websitebetreiber einfach zu nutzen und mit wenigen Klicks zu aktivieren. Trotzdem solltest du das Feature mit Bedacht aktivieren und deine Seite regelmäßig überprüfen.