Die WordPress Core Security Initiative wurde angekündigt. Ziel ist eine effizientere Umsetzung von sicherheitsrelevanten Updates.
Der Anstieg immer weiterer und mächtiger KI-Tools hat die Landschaft der Softwareentwicklung stark beeinflusst. Dazu gehört auch der Bereich der Webentwicklung und damit auch WordPress.
Das Sicherheitsteam von WordPress hat die Zeichen der Zeit erkannt und die sogenannte Core Security Initiative ins Leben gerufen, um schneller sowie effizienter auf Sicherheitslücken zu reagieren und bisher gemeldete Lücken schneller zu schließen.
KI als Treiber und Lösung
Warum wurde die Initiative ins Leben gerufen? Durch den Einzug von KI-Tools in der IT-Sicherheitslandschaft ist es immer einfacher, Sicherheitslücken in Software zu finden. Während das ein großer Vorteil für die Teams von Software, wie beispielsweise WordPress, ist, sorgt das auch für ein ungeahntes Problem: Wer schließt die Lücken?
So sorgen immer mehr gemeldete Sicherheitslücken im meistgenutzten CMS der Welt für das Problem, dass diese Lücken kaum noch mit den vorhandenen Entwickelnden geschlossen werden können und sich die Anzahl an Tickets im Backlog immer weiter steigert.
Daher wurde auf dem WordPress-Blog die Core Security Initiative bekanntgegeben. Sie wird von Kernentwickelnden des CMS, Sponsoren aus dem Ökosystem sowie ehrenamtlichen Helfenden getragen und besteht aus 3 großen Säulen die helfen sollen, Sicherheitsupdates schneller zu veröffentlichen sowie die immer weiter steigende Anzahl an Tickets zu bewältigen. Unter anderem mit der Hilfe von KI.
Die 3 Säulen der Core Security Initiative (ABC)
A – A better release process (ein besserer Release-Prozess)
Sicherheitsupdates für WordPress sollen in Zukunft schneller (und fehlerfreier) ausgeliefert werden. Um das Ziel zu erreichen, soll der Veröffentlichungsprozess stark modernisiert und automatisiert werden. Hierzu gehören ebenfalls erweiterte End-To-End-Tests.
Das soll gewährleisten, dass Sicherheitsupdates in Zukunft verlässlicher und vorhersagbarer bereitgestellt werden können.
B – Breaking the backlog (den Rückstau abbauen)
Durch die immer mehr werdenden Tickets, die durch Einreichungen entstanden sind, hat sich ein Bearbeitungsstau angesammelt. Dieser soll abgebaut und die Tickets abgearbeitet werden. Gelingen soll dies mithilfe von neuen Helfenden im Team sowie freiwilligen Contributors.
Ziel dieses Punktes ist es, die Tickets komplett abzuarbeiten und den Rückstau auf null zu reduzieren.
C – Crush vulnerabilites with AI (Schwachstellen mithilfe von KI bekämpfen)
Um Sicherheitslücken schneller zu entdecken, sollen KI-gestützte Scans eingesetzt werden. Das Team hinter WordPress versteht KI also als Werkzeug, dass zur Sicherheit des WordPress-Kosmos beitragen soll. Dabei soll nicht ausschließlich, sondern zusätzlich zu den bewährten Methoden auf KI gesetzt werden.
Jede:r kann helfen
Da die manuelle Sicherheitsforschung nach wie vor ein wichtiger und fester Bestandteil der Entwicklung von WordPress ist, werden Entwickelnde weiterhin dazu aufgerufen, zu helfen. Dabei betont das Team, dass die Qualität der Berichte nicht so relevant ist, wie die Meldung an sich.
Einreichungen zu gefundenen Sicherheitslücken sollen über den offiziellen HackerOne-Kanal von WordPress stattfinden.
Auch wenn die neuen Maßnahmen schnellere Updates und damit eine gesteigerte Sicherheit für WordPress-Webseiten bringen sollen, gibt es immer wieder Malware, die neue und clevere Wege geht. So auch in einem Fall, in dem sich der Schadcode direkt in der Datenbank versteckt hat und von großen Sicherheitsplugins in WordPress unentdeckt blieb.
