aktualizacja oprogramowania

Aktualizacja oprogramowania to nowa wersja systemu albo aplikacji wydana przez producenta. Obok zmian funkcjonalnych zawiera zwykle poprawki zamykające znane podatności. CERT Polska nazywa regularne instalowanie aktualizacji systemu i aplikacji jednym z najprostszych, a zarazem najskuteczniejszych sposobów zabezpieczenia urządzenia ^[1]. Aktualizacja, która tylko usuwa błąd, bywa nazywana łatką (patch).

Jak działa

Podatność w programie to błąd, który napastnik może wykorzystać. Producent, gdy się o niej dowie, przygotowuje poprawkę i wydaje ją jako aktualizację. CERT Polska porównuje aktualizacje do łat, które zamykają dziury i uniemożliwiają albo znacznie utrudniają nieautoryzowany dostęp do urządzenia ^[1].

Wydanie poprawki jest też sygnałem dla napastników. CERT Polska zwraca uwagę, że publiczna informacja o nowej krytycznej podatności uruchamia tworzenie narzędzi do jej wykorzystania ^[2]. Dokumentacja WordPressa ujmuje to podobnie: gdy wychodzi nowa wersja usuwająca podatność, informacje potrzebne do jej wykorzystania są niemal na pewno publicznie dostępne ^[4]. Od tej chwili luka staje się n-day, a każdy dzień zwłoki działa na korzyść atakującego.

NIST opisuje zarządzanie aktualizacjami w organizacji jako proces identyfikowania, ustalania priorytetów, pozyskiwania, instalowania i sprawdzania instalacji poprawek, aktualizacji i nowych wersji ^[3]. Traktuje go jako konserwację zapobiegawczą, czyli stały koszt utrzymania technologii ^[3]. Schemat poniżej pokazuje ten cykl.

RYS. 1Cykl aktualizacji

Rodzaje

NIST rozróżnia łatki, aktualizacje i przejścia na nowe wersje, ale obejmuje je jednym procesem zarządzania ^[3]. W praktyce aktualizacje różnią się zakresem: poprawka bezpieczeństwa zamyka jedną lukę, wersja poprawkowa zbiera kilka takich zmian, a wersja główna wprowadza nowe funkcje i częściej wymaga sprawdzenia zgodności z resztą systemu. Aktualizacja może być instalowana ręcznie albo automatycznie, bez udziału człowieka.

Osobną sytuacją jest koniec wsparcia. Program działa dalej, ale producent nie wydaje już poprawek. CERT Polska zaleca, by przestarzałe systemy nie były używane produkcyjnie, nawet jeśli działają prawidłowo ^[2]. W świecie WordPressa dotyczy to też języka PHP; zob. koniec wsparcia dla wersji PHP.

W WordPressie

Strona WordPress składa się z rdzenia, wtyczek, motywów i środowiska serwera. Każdy z tych elementów aktualizuje się osobno.

Rdzeń. Dokumentacja podaje, że od wersji 3.7 WordPress ma aktualizacje automatyczne, i zaleca z nich korzystać, by łatwiej nadążać za nowymi wersjami ^[4]. Szczegóły opisuje hasło aktualizacja rdzenia WordPressa. Starsze gałęzie tracą wsparcie: od lipca 2025 roku zespół bezpieczeństwa WordPressa przestał wydawać poprawki dla wersji od 4.1 do 4.6 ^[6]. Według ogłoszenia ponad 99% instalacji działało już wtedy na nowszych wersjach ^[6].

Wtyczki i motywy. Od wersji 5.5 administrator może włączyć automatyczne aktualizacje osobno dla każdej wtyczki i motywu ^[5]. Domyślnie WordPress uruchamia je dwa razy dziennie i wysyła właścicielowi e-mail o udanej albo nieudanej aktualizacji ^[5]. Mechanizm opiera się na zadaniach WP-Cron, więc na części serwerów może nie działać; stan sprawdza się w narzędziu Kondycja witryny ^[5].

To wtyczki są głównym źródłem ryzyka. Patchstack podaje, że w pierwszej połowie 2025 roku w ekosystemie WordPressa zidentyfikowano 6700 nowych podatności, a 41% z nich uznano za możliwe do wykorzystania w rzeczywistych atakach ^[7]. Dokumentacja WordPressa zaleca, by wtyczki były zawsze aktualne, a nieużywane usuwać ^[4]. Wtyczka, której autor przestał wydawać aktualizacje, to porzucona wtyczka.

O dostępnej nowej wersji wtyczki albo motywu WordPress informuje w panelu znacznikiem w menu administracyjnym i wyróżnieniem na ekranach wtyczek i motywów ^[5]. Aktualizacjami rdzenia, wtyczek, motywów i tłumaczeń można zarządzać w jednym miejscu, na ekranie Kokpit, Aktualizacje ^[5]. Jeśli przełączników automatycznych aktualizacji nie ma mimo wersji 5.5 lub nowszej, funkcję najpewniej wyłączył dostawca hostingu albo inna wtyczka ^[5].

Przed włączeniem automatycznych aktualizacji dokumentacja radzi upewnić się, że da się wrócić do poprzedniej wersji strony, czyli mieć regularną kopię zapasową (backup) ^[5].

Zagrożenia i skutki

Brak aktualizacji zostawia otwarte luki, które są już opisane publicznie. W zestawieniach ryzyka aplikacji internetowych ta sytuacja ma nazwę Vulnerable and Outdated Components.

Sama aktualizacja też niesie ryzyko. Wadliwa wersja może zatrzymać działanie systemu. 19 lipca 2024 roku błędna aktualizacja narzędzia Falcon Sensor firmy CrowdStrike, klasy EDR (Endpoint Detection and Response), spowodowała awarię komputerów z systemem Windows na całym świecie ^[8]. Według Niebezpiecznika dotknęła linie lotnicze, banki, szpitale i media ^[8]. Kanał aktualizacji bywa też celem napastników; zob. atak na łańcuch dostaw (supply chain attack).

Dobre praktyki

1. Instalować poprawki bezpieczeństwa szybko, bo po publikacji luki powstają narzędzia do jej wykorzystania ^[2].
2. Wprowadzać aktualizacje etapami, najpierw na grupie kontrolnej, a potem szerzej ^[2]. Dla strony WordPress odpowiednikiem jest środowisko testowe (staging).
3. Prowadzić rejestr aktualizacji, przydatny przy diagnozie i obsłudze incydentów ^[2].
4. Pobierać wtyczki i motywy tylko z repozytorium WordPress.org albo od znanych firm ^[4], bo tylko wtedy aktualizacje przychodzą z zaufanego źródła.
5. Wycofywać oprogramowanie bez wsparcia, zamiast czekać na awarię ^[2].
6. Traktować aktualizacje jako stały proces z właścicielem i terminami, co NIST nazywa zarządzaniem poprawkami (patch management) ^[3].

Gdy aktualizacji nie da się zainstalować od razu, lukę można czasowo osłonić regułą zapory aplikacyjnej; opisuje to hasło wirtualne patchowanie (virtual patching).