Kas mõne sinu plugina juures on Last updated kuupäev, mida sa parem ei vaataks? Kui otsid, kas seda pluginat veel uuendatakse, oled õigel teel. Vana plugin võib kodulehel täiesti normaalselt töötada. Aga töötamine ei tähenda, et keegi selle turvavigu enam parandab.
Olen varem kirjutanud vanade pluginate peidetud turvariskist. Seekord võtame asja praktiliselt: kust märke otsida, millal plugin alles jätta ja kuidas see vajadusel välja vahetada.
Alusta WordPress.org-i pluginalehelt
Kui plugin on WordPress.org-is, ava selle leht ja võta kontrolliks viis minutit. Üks kuupäev ei anna veel vastust. Vaata mitut märki koos.
Last updated: Millal tuli viimane versioon? Ava ka muudatuste nimekiri. Värske kuupäev ei tähenda automaatselt turvaparandust.Tested up to: Kas kirjas on hiljutine WordPressi versioon? Kui pluginat pole märgitud sobivaks viimase kolme suure WordPressi väljalaskega, näitab WordPress.org kollast hoiatust: „It may no longer be maintained or supported”. See on tugev vihje, mitte lõplik otsus. Arendaja saab seda välja muuta ka readme-failis, uut koodi välja laskmata.- Punane sulgemisteade: Kui lehel on „This plugin has been closed” ja seda ei saa alla laadida, võta seda tõsiselt. Põhjus võib olla turvalisuses, reeglites või autori enda soovis; üldine põhjus ilmub 60 päeva pärast. Juba paigaldatud plugin ei saa pelgalt sulgemise tõttu uuendust ega anna töölaual hoiatust.
- Tugifoorum: Ära vaata ainult lahendatud teemade arvu. Kas arendaja vastab värsketele küsimustele? Kas turvaküsimused seisavad vastuseta?
- Muudatuste nimekiri ja
Advanced View: Loe väljalasete ajalugu. Turvalisuse, sisendi puhastamise, väljundi kaitsmise, nonce-kontrollide või õiguste kohta käivad märkused ütlevad rohkem kui aastate kaupa „bug fixes”. Võrdle väljalasete kuupäevi leitud haavatavusteadetega. - Aktiivsed paigaldused: Suur arv ei tõesta, et pluginat hooldatakse. Võid hiljem vaadata, kas arv liigub, aga populaarsust ei maksa pidada turvakontrolliks.
Kollase hoiatuse peale tasub väljalasked üle vaadata, mitte kohe paanikas pluginat kustutada. Punane sulgemisteade on teine asi: WordPress.org-ist seda pluginat enam paigaldada ei saa ning olemasolevatele paigaldustele sealt parandust ei tule.
Kas pluginas on teadaolev parandamata turvaviga?
Otsi plugina nime tasuta Patchstacki andmebaasist ja Wordfence Intelligence’ist. Ava viimased haavatavuskirjed ning kontrolli, kas neis on kirjas parandatud versioon. Märge No known fix või parandatud versiooni puudumine tähendab, et üksnes Update-nupule vajutamine seda viga ei lahenda. Kontrolli ka enda paigaldatud versiooni: parandusest on kasu ainult siis, kui saad selle päriselt paigaldada.
Miks seda eraldi kontrollida? Patchstacki raporti State of WordPress Security in 2026 järgi ei saanud 46 % haavatavustest arendajalt parandust enne avalikustamist. See ei tähenda, et kõik need pluginad oleks jäädavalt hüljatud. Küll aga näitab see, et uuenduse ootamine pole alati plaan.
Kui haldad mitut lehte, aitab WordPressi haavatavuste skanner näha, millised pluginad sul kasutusel on ja milliste kohta on hoiatusi. Seejärel loe konkreetset haavatavuskirjet. Iga leitud viga ei pruugi sinu setup’i puudutada.
Mis siis, kui ostsid plugina mujalt?
Väljaspool WordPress.org-i müüdaval tasulisel pluginal neid lehemärke pole. Mine müüja muudatuste nimekirja, vaata viimase väljalaske kuupäeva ja otsi turvaparandusi. Kontrolli ka litsentsi kehtivust. Kui litsents on aegunud ei pruugi sa uuendusi töölaual näha, isegi kui müüja on need välja lasknud.
Otsi üles ka müüja turvakontakt või juhis, kuhu haavatavustest teatada. EL-i ettevõttel on selle küsimiseks veel üks põhjus: EL-i küberkerksuse määrus suunab kommertstarkvara pakkujaid, sealhulgas EL-i kasutajaid teenindavaid pluginamüüjaid, haavatavusteadetega tegelema ja turvauuendusi välja andma. Teavitamiskohustused algasid septembris 2026, täielikud kohustused hakkavad kehtima detsembris 2027. Puuduv juhis ei tõesta, et plugin on halb, aga ma küsiksin müüjalt, kes turvateateid vastu võtab.
Kas WordPress ei kontrolli nüüd ise pluginate uuendusi?
Kontrollib küll, aga see lahendab teise probleemi. Meie artiklis WordPress.org-i kontrollidest enne pluginauuenduste jagamist räägime uute väljalasete kontrollist. Sellest on abi ainult siis, kui uus väljalase üldse olemas on. Kui pluginat keegi ei hoolda ega paranda, pole midagi kontrollida või sinu lehele saata.
Mida teha hüljatud pluginaga?
Ära paigalda kohe esimest sarnase nimega pluginat. Tee esmalt kindlaks, mida vana plugin sinu lehel praegu teeb. Funktsiooni, mida sa enam ei kasuta, on lihtsam eemaldada kui asendada.
- Pole enam vaja? Plaani eemaldamine, aga kontrolli enne vanu vorme, plokke ja lühikoode.
- Juba asendatud? Vaata, kas WordPress ise, sinu teema või mõni teine kasutusel olev plugin teeb sama tööd. Üks plugin vähem on sageli parim variant.
- Ikka vajalik? Otsi hooldatud alternatiivi, millel on sisukas muudatuste nimekiri ja vastuseid saav tugifoorum.
- Leidsid hargversiooni? Hinda selle hooldajat ja väljalasete ajalugu, mitte nime. WordPress.org lõi oktoobris 2024 pluginast Advanced Custom Fields hargversiooni Secure Custom Fields. Ka suurel skaalal tehakse seda, kuid üksainus väljalase ilma toeta ei tee hargversiooni automaatselt paremaks.
Kui pead vana pluginat veel lühikest aega kasutama, piira võimaluse korral ligipääsu selle funktsioonile, lülita kasutamata osad välja ja jälgi haavatavuste teateid. See on ajutine lahendus, mitte parandus. Kui teadaoleval veal pole parandatud versiooni, ei tähenda vaikne töölaud, et kõik on korras.
Vaheta plugin välja nii, et leht katki ei läheks
Töötavate tellimustega e-poes ma selle sammuga ei kiirustaks. Uus plugin võib teha sama asja, aga salvestada andmeid hoopis teisiti. Katseta vahetus ise läbi, enne kui ostjad selle käigus vea avastavad.
- Tee varukoopia ja testleht. Veendu enne pärislehe muutmist, et varu koopia taastamine ka toimib.
- Pane kirja, mida vana plugin haldab. Pane kirja seaded, luhikoodid, plokid ja andmed. Kontrolli lehti ning malle, kus selle sisu kuvatakse.
- Paigalda uus plugin testlehele. Seadista see seal ja vii vajalikud andmed üle. Plugina vahetamine ei tõsta vanu kirjeid iseenesest kaasa.
- Proovi päris kasutusteekondi. Saada vorm, tee e-poes proovitellimus ja ava funktsiooni kasutavad lehed. Proovi lehte külastajana, mitte ainult haldurina.
- Tee vahetus pärislehel rahulikul tunnil. Kanna katsetatud seadistus üle, lülita vana plugin välja ja seejärel kustuta see. Ainult väljalülitamine jätab failid serverris alles.
- Otsi jääke. Kontrolli nähtavale jäänud lühikoode, katkiseid plokke ja puuduvaid andmeid. Hoia järgmised päev-paar ka vealogil silm peal.
Kui pead sellist kontrolli mitmel lehel regulaarselt tegema, saab WordPressi hooldus alates 39 € kuus aidata nii kontrollide kui ka läbimõeldud asendustega. Katsetatud vahetuseks aja leidmine on parem kui probleemi avastamine tellimuste tipptunnil.
Üks asi, mida täna kontrollida
Ava WordPressis pluginate vaade ja vali kolm, mille uuendust sa pole aasta jooksul märganud. Kontrolli nende WordPress.org-i lehti või tasuliste pluginate puhul müüja muudatuste nimekirju. Seejärel otsi iga nime haavatavuste andmebaasidest. Sa ei pea kõiki kolme täna välja vahetama. Aga saad teada, kas mõni neist ootab parandust, mida võib-olla kunagi ei tule.