L’équipe des systèmes de base de WordPress a connu un vendredi mouvementé lorsqu’une erreur dans le système de mise à jour automatique a provoqué la mise à jour des sites vers WordPress 5.5.3-alpha-49449, y compris des sites de production en direct sans constantes de mise à jour automatique définies.

Ceux qui ont reçu un e-mail à propos de la mise à jour se sont connectés à leur site pour voir le message: “BETA TESTERS: Ce site est configuré pour installer automatiquement les mises à jour des futures versions bêta.”

Shaun Rieman a enregistré le premier ticket à propos de sites en cours de mise à jour vers la version 5.5.3-alpha-49449, qui était d’ailleurs son premier ticket de trac WordPress. Plus d’utilisateurs et de développeurs ont confirmé le problème.

“Il est intéressant de noter qu’il n’y a pas de différence fonctionnelle entre 5.5.2 et 5.5.3-alpha, donc il n’y a pas lieu de s’inquiéter à cet égard”, a déclaré John Blackbourn.

Les sites mis à jour accidentellement ont également installé tous les thèmes par défaut publiés au cours de la dernière décennie, ainsi qu’Akismet. Les développeurs devront supprimer manuellement les thèmes groupés dont ils n’ont pas besoin.

En moins d’une heure, tous les sites concernés ont été automatiquement renvoyés à la version 5.5.2, mais l’incident a érodé la confiance et endommagé la confiance dans le système de mise à jour automatique. Plusieurs commentant le ticket ont demandé comment ils pouvaient désactiver explicitement les mises à jour de développement.

«Ce qui est inquiétant, c’est qu’un seul développeur peut le faire, apparemment sans aucune vérification ou confirmation par d’autres développeurs», a déclaré le développeur britannique Paul Stenning. «Il s’agit d’un problème de sécurité sérieux, car un développeur non autorisé pourrait diffuser du code malveillant dans une mise à jour que personne d’autre ne vérifie.»

Le propriétaire de l’agence WordPress Rob Migchels, qui avait environ 50 sites Web touchés, a suivi 18 minutes entre le ticket trac (# 51679) et recevoir le correctif.

“Le problème de la version 5.5.3-alpha est un effet secondaire d’un autre problème survenu sur la version 5.5.2”, a déclaré Tonya Mork, ingénieur WordPress et responsable de la version 5.6 de Triage. Jake Spurlock a publié une déclaration officielle concernant l’incident dans le cadre de la 5.5.3 Notes de version:

«Plus tôt dans la journée, entre 15h30 et 16h00 UTC environ, le système de mise à jour automatique de WordPress a mis à jour certains sites de la version 5.5.2 à la version 5.5.3-alpha. Cette mise à jour automatique était due à une erreur dans l’API Updates causée par les préparatifs de la version 5.5.3. »

Spurlock a élaboré sur le détails techniques dans un article séparé sur le blog de développement WordPress:

Alors que le travail était en cours pour préparer WordPress 5.5.3, l’équipe de publication a tenté de rendre 5.5.2 indisponible au téléchargement sur WordPress.org pour limiter la propagation du problème noté dans la section ci-dessus, car l’erreur n’affectait que les nouvelles installations. Cette action a abouti à la mise à jour de certaines installations vers une version préliminaire «5.5.3-alpha».

Dans une situation comme celle-ci, où les utilisateurs qui n’ont pas choisi d’exécuter leurs sites en direct sur des versions bêta reçoivent une mise à jour forcée, les propriétaires de sites peuvent se demander si cette mise à jour arrive réellement de WordPress ou si le système a été détourné.

Chercheur en sécurité Slavco Mihajloski, qui commenté la semaine dernière, sur le manque de transparence concernant la façon dont les mises à jour automatiques sont testées et effectuées, a déclaré que cet incident souligne la nécessité d’une plus grande ouverture autour du processus.

«Pourquoi la transparence est-elle importante? Parce que la procédure deviendra publique et lorsqu’elle sera publique, la communauté pourra contribuer afin de l’améliorer », a déclaré Mihajloski. «Pour le moment, il est plus qu’évident que ce processus et toute la sécurité de WP.dot org manquent d’AQ et de CQ. Chaque tâche est laissée à un individu ou à un groupe fermé. Imaginez ce qui suit: et si une mise à jour de sécurité automatique ne pouvait être poussée que si: – les autorités X sur Y (où X

Les mises à jour automatiques en arrière-plan des versions mineures ont permis aux développeurs de gagner des milliers d’heures de mise à jour des sites. Une interface utilisateur permettant aux utilisateurs d’opter pour des mises à jour automatiques pour les versions majeures est sur la feuille de route pour WordPress 5.6, attendue début décembre.

Cette mise à jour accidentelle particulière a trahi pour de nombreux développeurs ce qui était déjà une confiance quelque peu fragile dans le système de mise à jour automatique. Cela ne renforce pas la confiance dans la vente de l’idée de mises à jour de base lorsque la version 5.6 est publiée, mais cela ne signifie pas que les mises à jour automatiques ne sont pas une bonne idée. WordPress.org devra mettre en place de meilleurs processus afin de regagner la confiance des utilisateurs.

L’incident a affecté plus de 100 sites pour le propriétaire de l’agence WordPress Robert Staddon. Il rapporte qu’ils ont tous affiché le bouton «Mettre à jour maintenant» avec le texte confus et incorrect vu ci-dessous. Staddon a déclaré que l’incident ne l’avait pas encore amené à modifier son approche pour permettre aux clients de recevoir des mises à jour automatiques.

«J’ai été très reconnaissant du temps de réponse extrêmement rapide pour résoudre le problème», a déclaré Staddon. «Cependant, cela a ébranlé ma confiance dans le processus de mise à jour automatique de WordPress. Compte tenu du nombre de sites Web utilisant WordPress, une erreur de cette ampleur pourrait finir par avoir un effet plutôt catastrophique sur le Web. J’espère que l’équipe principale sera en mesure d’évaluer comment cela s’est produit et d’envisager de mettre en place des contrôles pour s’assurer que cela ne se reproduira plus.



Source link