WordPress.org automatycznie blokuje ryzykowne wydania wtyczek

WordPress.org blokuje wydania wtyczek, które automatyczny przegląd bezpieczeństwa uzna za ryzykowne. Od 5 czerwca każde wydanie wtyczki i motywu czeka sześć godzin, zanim trafi do API aktualizacji WordPress.org. Dotyczy to także aktualizacji jednym kliknięciem z kokpitu.

W tym czasie zmiany analizuje kilka modeli AI oraz Jetpack Scan. Wyniki są porównywane i łączone w ocenę ryzyka. Wydanie z wysoką oceną nie zostanie rozesłane, dopóki problemy nie znikną. 28 lipca system wykrył tylną furtkę w wydaniu wtyczki z około 20 000 aktywnych instalacji. Zainfekowana wersja była jeszcze w okresie karencji i nie trafiła do stron. Zespół zamknął wtyczkę do pobrania 26 minut po zgłoszeniu od Wordfence.

Dla właściciela strony oznacza to, że nowa wersja wtyczki z repozytorium WordPress.org pojawi się w aktualizacjach dopiero po sześciogodzinnym przeglądzie. Autor wtyczki musi działać tylko wtedy, gdy dostanie e-mail o zablokowaniu wydania.