31 de dezembro de 2007

Wordpress 2.3.2: segurança torna-se preocupação, finalmente (act.)

Matt Mullenweg e Ryan Boren não responderam propriamente de imediato, mas também não empataram: o WordPress levou menos de três meses a dar primazia à segurança do sistema e 65 dias depois da versão 2.3.1 lança a 2.3.2 que é essencialmente um remendo dos buracos entretanto detectados.

A maioria das questões de segurança do WordPress, sobretudo as de pior risco, não têm a ver directamente com o WordPress mas com as duas tecnologias escolhidas para o desenvolvimento: a formidável linguagem de scripting PHP e o espantoso motor de base de dados MySQL (ambos em regime de código aberto).

A maior ameaça este ano veio do SQL injection — um tipo de fragilidade comum a qualquer sistema que use estas duas tecnologias, e não só (também o motor comercial MS SQL é vulnerável).

O que a equipa do WordPress fez, no fundo, foi incorporar no código, de raiz, algumas soluções já apontadas por terceiros para mitigar os ataques a esta e a outras fragilidades. Dessas soluções, algumas estavam já em plugin, como o WPIDS, outras consistem em ligeiras alterações ao código que qualquer um pode fazer, como a alteração do nome por defeito da base de dados e a supressão das mensagens de erro.

Não sou adepto de instalar religiosamente cada upgrade, em regra sigo o conselho dos experts que apontam as versões estáveis como as que são fundamentais — mas neste caso estamos perante um upgrade imprescindível, apesar de pequeno demais para justificar uma mudança maior no número da versão.

Os blogues da TubarãoEsquilo que usam WordPress foram todos actualizados em cinco minutos.

Act: A versão em Português do WordPress 2.3.2 está aqui (dica de Bruno Miguel).

Publicado em 31 de dezembro de 2007 às 15:35 na coleção Miscelânea