Viamão Lotado

Uma coisa que acho ridícula é quando “especialistas” em segurança dizem que um blog deve ocultar a metainformação do “Generator” (o sistema que gera cada página) no caso do WordPress, porque é inseguro divulgar para o mundo qual a versão do WordPress está sendo em uso, e que o CMS usado é o WordPress. Muito pior que isso é deixar o XML-RPC ativo quando não há necessidade.

Entretanto, quero ver o que eles vão dizer agora que o Google vai passar a informar no Webmaster Tools que o WordPress do site está desatualizado. Não acredita? Então leia direto na fonte (em Inglês, of horse).

Infelizmente, parece-me ser uma medida meio inócua, pois dos webmasters que conheço, a maioria nem sabe o que é o GWT (Google Webmasters Tools), e os que sabem são muito parecidos comigo: só passam lá de vez em nunca. E quem tem a presença de espírito para de vez em nunca passar pelo GWT, certamente tem ainda mais presença de espírito para manter seu WP atualizado sem que ninguém precise puxar suas orelhas.

Honestamente: em vez de se preocupar com isso, o Google bem que poderia investir a mão de obra que gastou para implementar essa notificação de WP desatualizado em um meio de punir de uma vez por todas os filhos da puta que copiam e colam conteúdo alheio, em vez de criarem o seu próprio.

Ontem saiu a atualização do WordPress para versão 2.3.3 que corrigiu algumas vulnerabilidades de segurança do sistema mais precisamente o arquivo xmlrpc.php. Quando sai uma atualização, o WordPress oferece dois pacotes para download. O primeiro, com apenas o(s) arquivo(s) alterado(s) e outra com todo o sistema, já com o que foi corrigido junto. No caso de ontem, como foi só um arquivo “urgente”, preferi fazer o update parcial. Segundo o próprio blog do WordPress sugeria, era necessário apenas sobrescrever o arquivo xmlrpc.php dentro da raiz da instalação do WP e pronto.

Entretanto, continuava a mensagem de que uma nova versão do WordPress estava disponível pedindo para baixá-la com o link para a mesma. Como tirar essa mensagem chata? Simples:

Procure a pasta wp-includes dentro do seu host e nela o arquivo version.php. A função que faz o painél de administração do blog exibir esse aviso chama este arquivo e nele está o uma chamada para a versão atual do seu WordPress. Como você não atualizou os demais arquivos, incluindo o version.php, é como se o WordPress ainda não estivesse atualizado. Então, basta você alterar a linha 5, onde está:

$wp_version = ‘2.3.2′;

altere para:

$wp_version = ‘2.3.3′;

Simples assim.

NOTA IMPORTANTE: Não precisaria dizer isso aqui, mas o seguro morreu de velho. Esta função APENAS e tão SOMENTE APENAS retira a mensagem de que necessita uma atualização. Se você não atualizou o seu WordPress, o faça, como toda e qualquer atualização de segurança nova que é disponibilizada.

NOTA IMPORTANTE 2: Não somente neste caso, mas sempre que for alterar um arquivo dentro do seu host, conte sempre com uma cópia de segurança que deve ser feita antes mesmo de qualquer alteração.

Há exatos 58 dias saiu uma nova atualização para o WordPress, não de estética, não de desempenho nem alguma feature nova. Era uma atualização (2.3.2) de segurança corrigindo falhas na versão 2.3.1. Com update de segurança não se brinca, se você tem um blog e não quer se incomodar com ele, deve fazê-las assim que possível. E, claro, recomenda-se um backup antes do seu tema, da instalação do seu WordPress e da sua base de dados.

Faz exatamente 5 horas que o WordPress lançou outra atualização de segurança: a 2.3.3. Nela, a única coisa que muda é o arquivo xmlprc.php, localizado no diretório principal do blog, que serve para a comunicação do seu blog com algumas aplicações externas. Ainda que você não use, ou pensa que não está usando, urge que você faça esse update.

Você tem duas opções: atualizar o WordPress por completo, ou somente o arquivo XMLPRC.php. Eu fiz em meus blogs a segunda opção, já havia feito a “completa” na 2.3.2.

Segundo o blog oficial do WordPress, há também uma falha de segurança no plugin WP-Forum. Se você o utiliza, trabalho dobrado. É necessário atualizá-lo também.

O post desse anúncio ainda diz, numa tradução livre do bom inglês:

“Desde que estejamos falando de segurança, lembre-se de usar senhas fortes (difíceis) e trocá-las com frequência. Enquanto atualiza o WordPress e seus plugins, considere atualizar as suas senhas.”