Blog-Ausfall wegen Koko-Analytics Plugin-In-Update

Gestern Abend (7. April 2025) kam es zu einem mehrstündigen Ausfall des Blogs. Seit ca. Mitternacht läuft alles wieder – ich hatte dem Betreiber am späten Abend eine Mail geschickt, als ich den Ausfall festgestellt habe. Hier eine Erklärung (ich war indirekt schuld).

Der IT-Blog steht, und nicht nur dieser …

Ich hatte gegen 18:00 Uhr am 7. April 2025 noch Kommentare in der Moderation am Smartphone freigegeben. Als ich gegen 22:00 Uhr kurz schauen wollte, ob noch was zur Moderation ansteht, war der Blog hier nicht mehr erreichbar. Auch mein englischer IT-Blog, sowie der Root-Blog auf borncity.com standen.

Internetzugang war es nicht, wie ich beim Abruf weitere Webseiten feststellte. Auch ein Zugriff auf meine Blogs unter borncity.eu war möglich. Da diese restlichen Blogs , die ich selbst auf borncity.eu hoste, liefen, musste es am Server liegen, der vom neuen Besitzer unter borncity.com betrieben wird, lautete mein Schluss. Also habe ich sofort eine Mail geschrieben, und gefragt, ob der Server steht. Da ich heute noch Blogging-Pause habe, bin ich ins Bett, in der Hoffnung, dass am Folgetag alles wieder läuft.

Meine Schuld, mistiges Koko Analytics-Plugin

Ich verwende in meinen WordPress-Blogs nur ein minimales Set an Plugins, um die Zahl der Sicherheitslücken, sowie die möglichen Probleme zu reduzieren. Im IT-Blog und im englischsprachigen IT-Blogs gehe ich dabei besonders vorsichtig bezüglich Plugin-Updates vor. Denn ich habe keinen SSH- bzw. FTP-Zugriff mehr, um ggf. ein störrisches Plugin rauswerfen zu können.

Vorsicht bei Plugin-Updates

Zuerst werden die Plugins auf borncity.eu aktualisiert und erst wenn es keine Probleme gibt, lasse ich die Plugins auf borncity.com/win/ und mit ein wenig Verzögerung auf borncity.com/blog/ aktualisieren. Hatte ich am gestrigen Morgen auch mit einem Plugin namens Koko Analytics gemacht. Ich verwende das Plugin, weil mir dieses die Zahl der Seitenabrufe und die Zahl der Besucher datenschutzfreundlich anzeigt.

Da war doch was mit Koko Analytics

Ich nutze zwar noch ein Plugin, um die Abrufe eines Beitrags zu zählen. Aber dieses listet mir nicht die Besucherzahlen pro Tag auf. Sonst wäre Koko Analytics längst rausgeflogen. Hintergrund ist, dass Koko Analytics mir den Blog bzw. das von mir gebuchte shared hosting-Paket, sowie alle 29 weiteren Kunden auf dem betreffenden Server, bereits im August 2025 schon mal nach einem Updates ins digitale Nirvana geschossen hatte. Damals konnte ich es in Zusammenarbeit mit dem Support des Hosters binnen einer halben Stunde klären.

Seinerzeit hatte eine Umstellung des Plugins eine Datenbank-Migration angestoßen, die bei meinem IT-Blog wegen der Größe der Datenbank ins Nirvana lief, den Blog und alle weiteren Blogs auf dem Server zum Stillstand gebracht. Ich habe den damaligen Vorfall im Beitrag Pleite mit WordPress-Plugin Koko Analytics 2.x beschrieben.

Koko Analystics-Update killt Blogs

Am 7. April 2026 gab es ein Update von Koko Analytics, und ich habe gestern morgen ein Update des Plugins auf borncity.com/win angestoßen. Als das durchlief und keine Schäden zu zeigen schien, habe ich auch Koko Analytics gestern morgen auf borncity.com/blog aktualisieren lassen. Lief auch alles, bis auf gestern Abend, als irgendwann vor 22:00 Uhr alles stand.

Heute früh erreichte mich die Mail meines Kontakts bei DNV Media Verlag GmbH mit der folgenden Botschaft: "der Server läuft wieder – alle drei Seiten (borncity.com, /blog, /win) sind wieder erreichbar." Lob an die Mannschaft des neuen Besitzers, die sich Nachts noch an die Fehlerbehebung schwingen! Was ist passiert? Der Mitarbeiter schrieb:

Das Koko Analytics Plugin auf /blog/ hat nach einem Update eine Datenbank-Migration gestartet (neuer Index auf der Statistik-Tabelle). Eine vorgelagerte Lösch-Abfrage auf der `koko_analytics_post_stats`-Tabelle hat sich dabei festgefressen – die lief über 6 Stunden ohne Ergebnis. Das Problem: Jeder neue Aufruf von /blog/ hat die Migration erneut ausgelöst, und jede dieser Anfragen blieb ebenfalls hängen. So waren innerhalb kurzer Zeit alle 50 PHP-Prozesse blockiert, wodurch der komplette Server (auch die Hauptseite und /win) nicht mehr erreichbar war.

Was ich gemacht habe:

1. Die blockierten Datenbank-Abfragen (~50 Stück) manuell beendet

2. Koko Analytics auf /blog/ deaktiviert Bitte das Plugin vorerst nicht wieder aktivieren

Das ist natürlich tückisch – auf borncity.com/win/ war das Plugin durchgelaufen und hatte die Änderung der Datenbank-Migrationsänderung gefressen. Bei /blog/ liegt aber eine große Datenbank vor, bei der sich das Plugin erneut verschluckt hat. Ich habe das Plugin jetzt gekickt.

Shit happens, und hier zeigt sich die Schwäche des WordPress-Ansatzes, da die kein Sandboxing betreiben, so dass eine Instanz weitere Instanzen auf dem Server in den Orkus ziehen kann. Ich habe es nicht thematisiert, aber Cloudflare entwickelt einen WordPress-Klon, der möglicherweise einige dieser Nachteile beseitigt. The Register hat einige Details in diesem Beitrag beschrieben.