Wtyczka usunięta z katalogu wtyczek WordPress.org: co to oznacza?

Chcesz zainstalować sprawdzoną wtyczkę na nowej witrynie, ale wyszukiwarka wtyczek w kokpicie WordPressa już jej nie znajduje. Na WordPress.org zamiast przycisku pobierania widnieje tylko krótka informacja: „This plugin has been closed”. A na Twoich pozostałych witrynach ta sama wtyczka działa zupełnie normalnie. Co się stało? Wtyczka została usunięta z oficjalnego katalogu wtyczek. To może być nic groźnego. Może to jednak również oznaczać, że na Twojej witrynie jest właśnie otwarta luka bezpieczeństwa, której nikt już nie załata. Z tego artykułu dowiesz się, co kryje się za takim zamknięciem, jak ocenić ryzyko i co warto teraz zrobić.

Co oznacza, że wtyczka została usunięta z WordPress.org?

Ściśle rzecz biorąc, WordPress.org nie usuwa wtyczki, tylko ją zamyka. Na stronie wtyczki pojawia się wtedy zdanie w rodzaju „This plugin has been closed as of June 24, 2024 and is not available for download.” Dla Ciebie jako właściciela witryny ma to bardzo konkretne skutki:

• Wtyczki nie da się już pobrać z WordPress.org ani zainstalować z poziomu kokpitu.
• Dopóki jest zamknięta, WordPress.org nie udostępnia jej nowych wersji. Nie będzie więc żadnych aktualizacji, również tych dotyczących bezpieczeństwa.
• Kopie, które są już zainstalowane, pozostają nietknięte. WordPress niczego nie dezaktywuje ani nie usuwa, wtyczka po prostu działa dalej.
• Kod źródłowy pozostaje publicznie dostępny w SVN Repository na WordPress.org.

Najbardziej zdradliwy jest punkt trzeci. Ponieważ na Twojej witrynie wszystko wygląda normalnie, zwykle w ogóle nie zauważasz zamknięcia. WordPress nie wyświetla na ten temat w kokpicie żadnej informacji. Zgłoszenie, które ma to zmienić, czeka w WordPress Trac od 2014 roku. W międzyczasie zostało odrzucone, a w 2023 roku ponownie otwarte. Na pytanie, jak ostrzec użytkowników i nie wywołać przy tym niepotrzebnej paniki, po prostu nie ma łatwej odpowiedzi.

Nie myl też wtyczki usuniętej z przestarzałą. Wtyczka, która od lat nie dostała aktualizacji, często nadal normalnie figuruje w katalogu. WordPress.org zaznacza wtedy jedynie, że nie była testowana z trzema ostatnimi głównymi wersjami WordPressa. Zamknięta wtyczka jest natomiast całkowicie wycofana z obiegu.

Dlaczego wtyczki są usuwane z katalogu WordPress.org? Pięć oficjalnych powodów

Nad katalogiem wtyczek czuwa Plugins Team z WordPress.org. Zespół nie zamyka wtyczek pod wpływem kaprysu, tylko z jednego z pięciu powodów opisanych w oficjalnej dokumentacji dla deweloperów. Właśnie te powody pojawiają się później na stronie wtyczki:

• Security Issue (problem z bezpieczeństwem): We wtyczce jest potwierdzona luka bezpieczeństwa. Poza nielicznymi wyjątkami zespół zamyka wtedy wtyczkę natychmiast. Według podręcznika zespołu nie ma czegoś takiego jak termin w stylu „Napraw to w ciągu siedmiu dni, bo inaczej wylatujesz”.
• Guideline Violation (naruszenie wytycznych): Wtyczka nie przestrzega zasad katalogu. Typowe przypadki to śledzenie bez zgody użytkowników, celowo zaciemniony kod albo linki do dewelopera, które bez pytania pojawiają się na Twojej witrynie.
• Licensing/Trademark Violation (naruszenie licencji lub znaku towarowego): Wtyczka zawiera kod niezgodny z licencją GPL albo jej nazwa wykorzystuje cudzy znak towarowy.
• Author Request (prośba autora): Deweloper sam zamknął wtyczkę. Czasem po prostu brakuje mu czasu, a czasem wtyczka jest już dostępna tylko w płatnej wersji na jego własnej stronie.
• Merged Into Core (przeniesiona do WordPressa): Ta funkcja jest teraz częścią samego WordPressa. Dotyczy to prawie wyłącznie tak zwanych Feature Plugins, czyli wtyczek, w których testuje się nowe funkcje, zanim trafią do WordPressa.

Wielu problemów z bezpieczeństwem Plugins Team zresztą nie wykrywa sam. Często zgłaszają je badacze bezpieczeństwa, na przykład wtedy, gdy deweloper nie reaguje na ich wiadomości.

Dlaczego powód zamknięcia wtyczki pojawia się dopiero po 60 dniach?

Tuż po zamknięciu na stronie wtyczki widać tylko datę. Powód WordPress.org dopisuje dopiero 60 dni później, i to wyłącznie jako ogólną kategorię z powyższej listy. O tym, co dokładnie się wydarzyło, dowiadują się tylko deweloperzy z uprawnieniami do zapisu w repozytorium wtyczki oraz zespół bezpieczeństwa. Szczegóły są upubliczniane tylko w wyjątkowych przypadkach.

Na pierwszy rzut oka wygląda to na brak przejrzystości, ale ma to swój sens. Gdyby już w dniu zamknięcia na stronie widniało „Security Issue”, atakujący od razu wiedzieliby, gdzie szukać, a tysiące witryn wciąż korzystałyby z wtyczki bez żadnej ochrony. Ten czas daje deweloperowi szansę na załatanie luki, zanim informacja o niej się rozejdzie.

Zwróć też uwagę na zdanie pod komunikatem. „This closure is temporary, pending a full review” oznacza, że zamknięcie jest tymczasowe, a wtyczka przechodzi właśnie dokładniejszą weryfikację. „This closure is permanent” znaczy, że zamknięcie ma być ostateczne. Przykład: KingComposer, kiedyś bardzo popularny page builder, ma na swojej stronie od lutego 2022 roku dopisek „Reason: Security Issue”.

Czy wtyczka usunięta z WordPress.org jest niebezpieczna?

Szczerze mówiąc: to zależy. Samo zamknięcie nie dowodzi jeszcze, że istnieje luka bezpieczeństwa. Jeśli deweloper po prostu porzucił swoją wtyczkę, może ona jeszcze latami działać bez problemów.

Mimo to traktuj każdą usuniętą wtyczkę poważnie, jako sygnał ostrzegawczy:

• Na początku nie znasz powodu. W ciągu pierwszych 60 dni za zamknięciem może kryć się krytyczna luka albo niegroźne uchybienie formalne. Z zewnątrz nie widać różnicy.
• Nie ma już aktualizacji bezpieczeństwa. Gdy luka wyjdzie na jaw, pozostaje otwarta. Właśnie dlatego zamknięte wtyczki są łakomym kąskiem dla atakujących: wiedzą, że wiele witryn będzie z nich korzystać jeszcze długo.
• Zgodność zaczyna się sypać. Z każdą nową wersją WordPressa i PHP rośnie ryzyko, że wtyczka zacznie powodować błędy, a w najgorszym razie unieruchomi Twoją witrynę.

Jak szybko zamknięcie może przerodzić się w prawdziwy problem, pokazał czerwiec 2024 roku. Atakujący, korzystając z haseł z dawnych wycieków danych, dostali się do kont deweloperów na WordPress.org i umieścili backdoory w kilku wtyczkach, jak donosił wtedy Wordfence. Ucierpiały między innymi Social Warfare i Blaze Widget. Social Warfare szybko doczekała się oczyszczonej wersji. Wtyczka Blaze Widget jest natomiast trwale zamknięta od 24 czerwca 2024 roku, powód: Security Issue. Kto miał zainstalowaną zmanipulowaną wersję, nie widział w kokpicie żadnego ostrzeżenia.

Wtyczka usunięta z WordPress.org: co teraz zrobić?

Nie ma powodu do paniki. Nie odkładaj jednak sprawy na później. Najlepiej działaj w tej kolejności:

1. Przeczytaj komunikat na stronie wtyczki. Znajdziesz ją pod adresem wordpress.org/plugins/ z dopisanym na końcu slugiem wtyczki. Slug to nazwa jej folderu w wp-content/plugins. Zwróć uwagę na datę, na informację temporary lub permanent, a po upływie 60 dni także na powód.
2. Sprawdź, czy znana jest luka bezpieczeństwa. Wyszukaj wtyczkę w jednej z dużych baz podatności, na przykład w Wordfence Intelligence, Patchstack lub WPScan. Jeśli jest tam wpisana luka dla zainstalowanej u Ciebie wersji, sprawa jest jasna: natychmiast dezaktywuj wtyczkę. Jeśli Twoja witryna nie może się bez niej obejść, potrzebujesz szybko rozwiązania przejściowego (więcej o tym za chwilę).
3. Zobacz, czy deweloper nadal ją rozwija. Niektóre wtyczki tylko się przeprowadzają, na przykład na GitHuba albo do własnego sklepu dewelopera, albo są już dostępne wyłącznie odpłatnie. Rzut oka na jego stronę zwykle szybko wszystko wyjaśnia. Aktualizacje nie przychodzą jednak wtedy automatycznie przez WordPress.org, tylko drogą, którą wskaże deweloper.
4. Zadaj sobie szczerze pytanie, czy nadal potrzebujesz tej wtyczki. Zwłaszcza na starszych witrynach często siedzą wtyczki, które kiedyś zainstalowano w jednym konkretnym celu, a potem o nich zapomniano. Jeśli nie pamiętasz już, do czego służy, dezaktywuj ją w środowisku testowym i sprawdź, czy czegoś brakuje.
5. Poszukaj aktywnie rozwijanej alternatywy. Liczą się data ostatniej aktualizacji, liczba aktywnych instalacji, ostatnia wersja WordPressa, z którą wtyczkę testowano, i to, czy na forum wsparcia ktokolwiek w ogóle odpowiada. Wtyczka z dużą bazą użytkowników i aktywnym zespołem jest zwykle bezpieczniejszym wyborem niż niszowe rozwiązanie, nad którym jedna osoba pracuje w wolnym czasie.
6. Wymień wtyczkę porządnie. Zanim zaczniesz, zrób kopię zapasową, przetestuj zmianę w środowisku testowym i przenieś ustawienia oraz treści. Pamiętaj też o shortcode’ach, które po usunięciu wtyczki zostałyby na Twoich stronach jako zwykły tekst. Na koniec całkowicie usuń starą wtyczkę. Sama dezaktywacja nie wystarczy: przy niektórych lukach atakującym wystarczy, że pliki wciąż leżą na serwerze i można je wywołać bezpośrednio.

A co, jeśli nie możesz od razu wymienić wtyczki? Wtedy przynajmniej ją zabezpiecz. Web Application Firewall, na przykład od Wordfence, Patchstack albo Twojego dostawcy hostingu, może przechwytywać znane ataki na wtyczkę, dopóki nie zakończysz przesiadki. Agencje z własnymi deweloperami mają jeszcze jedną możliwość: wtyczki na WordPress.org są objęte licencją GPL albo licencją z nią zgodną. Możesz więc przejąć kod i samodzielnie go dalej rozwijać. Wtedy jednak cała odpowiedzialność za aktualizacje bezpieczeństwa spada na Ciebie.

Więcej o tym, jak na bieżąco dbać o wtyczki, przeczytasz w naszym poradniku Jak utrzymywać wtyczki WordPress zaktualizowane i bezpieczne.

Jak sprawdzić, czy zainstalowana wtyczka została zamknięta w katalogu WordPress.org?

Ręcznie to żmudna robota. Dla każdej wtyczki trzeba by otworzyć odpowiednią stronę na WordPress.org. Przy pięciu wtyczkach jeszcze da się to zrobić, przy 30 wtyczkach na kilku witrynach klientów już raczej nie.

Szybciej zrobisz to przez Plugin API serwisu WordPress.org. Dla zamkniętej wtyczki zamiast zwykłych danych zwraca ono komunikat o błędzie z wartością closed:

curl -sg "https://api.wordpress.org/plugins/info/1.2/?action=plugin_information&request[slug]=SLUG"

Zastąp SLUG nazwą folderu wtyczki. Jeśli w odpowiedzi znajduje się "closed":true, wtyczka jest zamknięta. Znajdziesz tam też datę zamknięcia i, gdy tylko zostanie opublikowany, powód. Opcja -g sprawia, że curl nie traktuje nawiasów kwadratowych w adresie jako symboli zastępczych.

Jeśli korzystasz z Wordfence: jego skaner również porównuje Twoje wtyczki z WordPress.org i zgłasza usunięte wtyczki jako krytyczny problem. Niczego przy tym nie kasuje, decyzja należy do Ciebie.

Jeszcze jedno, żeby oszczędzić Ci niepotrzebnych nerwów: nie każda wtyczka, której nie znajdziesz na WordPress.org, została usunięta. Wtyczki premium, takie jak WP Rocket czy Gravity Forms, nigdy tam nie figurowały. Aktualizacje dostają bezpośrednio od producenta.

Jak InspectWP wykrywa usunięte wtyczki na Twojej witrynie

InspectWP wyręczy Cię w tym sprawdzaniu. Raport rozpoznaje wtyczki na Twojej witrynie po śladach, jakie zostawiają w kodzie źródłowym, i każdą z nich porównuje z WordPress.org. Jeśli wtyczka jest zamknięta, informacja o tym pojawia się bezpośrednio na jej karcie, a sprawdzenie pod kątem usuniętych wtyczek zapala się na czerwono. Gdy WordPress.org później przywróci wtyczkę, oznaczenie znika wraz z następnym raportem. Wtyczki, które od ponad roku nie dostały aktualizacji, raport oznacza osobno jako przestarzałe. Wtyczki premium, których nigdy nie było w katalogu, nie są uznawane za usunięte.

W planach Premium i Agency widzisz dodatkowo zainstalowane wersje i znane luki bezpieczeństwa swoich wtyczek. Z wtyczką InspectWP WordPress Connector rejestrowane są ponadto wszystkie zainstalowane wtyczki, także te, które nie zostawiają żadnych śladów we frontendzie. W PDF audytu dla Twoich klientów usunięta wtyczka pojawia się jako pilny punkt z jasną rekomendacją. Ponieważ wtyczka, która dziś jest jeszcze rozwijana, w przyszłym miesiącu może zostać zamknięta, warto korzystać z raportów automatycznych: InspectWP regularnie sprawdza wtedy Twoje projekty i na życzenie wysyła Ci powiadomienia. Bezpłatny raport w krótkim czasie pokaże Ci, czy na Twojej witrynie działa właśnie usunięta wtyczka.