PHP2Shell і мадэль рызыкаў WordPress Multisite
Нядаўняя ўразлівасць бяспекі PHP2Shell з’яўляецца своечасовым напамінам, што бяспека WordPress не абмяжоўваецца ядром WordPress, тэмамі і ўбудовамі. Калі ўразлівасць закранае асяроддзе выканання PHP, яна знаходзіцца ніжэй за стэк прыкладанняў, які забяспечвае працу кожнага сайта на серверы. У залежнасці ад закранутай канфігурацыі PHP і ўмоў, неабходных для эксплуатацыі, паспяховая атака можа даць зламысніку магчымасць запускаць непрадугледжаныя каманды або код на ўзроўні сервера.
Для асобнага сайта WordPress гэта сур’ёзна. Для сеткі WordPress Multisite патэнцыйны маштаб шкоды можа быць значна большым. Адно асяроддзе PHP можа падтрымліваць сетку кліенцкіх сайтаў, крам, мэтавых старонак і парталаў для ўдзельнікаў. Таму хуткае скаардынаванае ўсталяванне выпраўленняў з’яўляецца асноватворнай часткай адказнага мультысайтавага хостынгу, а не задачай абслугоўвання, якую можна адкласці да наступнага зручнага моманту.
Чаму ўразлівасці PHP маюць больш шырокі ўплыў у сетцы
Multisite распрацаваны для эфектыўнага кіравання мноствам вэб-сайтаў: агульныя файлы ядра, агульныя ўбудовы, агульныя тэмы і цэнтралізаванае адміністраванне сеткі памяншаюць колькасць паўтаральнай працы. Тая ж агульная інфраструктура азначае, што праблему базавай платформы трэба разглядаць як падзею для ўсёй сеткі.
Практычнае пытанне заключаецца не проста ў тым, ці ўсталяваў уладальнік асобнага сайта апошняе абнаўленне. Важна, ці выявіла хостынгавая платформа закрануты выпуск PHP, ужыла выпраўленне ад пастаўшчыка ва ўсёй адпаведнай інфраструктуры і пацвердзіла, што абноўленае асяроддзе выканання абслугоўвае кліенцкія сайты. Затрымкі могуць пакідаць усе сайты, якія выкарыстоўваюць закранутае асяроддзе, пад пагрозай даўжэй, чым неабходна.
Добра арганізаваная рэакцыя таксама павінна збалансаваць хуткасць і кантроль. Камандам варта азнаёміцца з нататкамі да выпуску PHP і рэкамендацыяй, разгарнуць выпраўлены пакет праз усталяваны працэс кіравання зменамі, праверыць актыўную версію PHP, кантраляваць журналы памылак і стан сэрвісаў, а таксама інфармаваць кліентаў, калі з іх боку патрабуецца дзеянне. У большасці выпадкаў кліентам не трэба самастойна адсочваць тэрміновы выпуск бяспекі асяроддзя выканання для кожнага сайта.
Што варта рабіць адміністратарам WordPress Multisite
Нават калі хостынг клапоціцца пра абнаўленне PHP, адміністратарам сеткі варта выкарыстаць гэты інцыдэнт як магчымасць пацвердзіць уласны стан бяспекі:
- Пацвердзіце актыўную версію PHP у свайго хостынг-правайдара і пераканайцеся, што яна ўключае выпраўленне PHP2Shell ад пастаўшчыка.
- Падтрымлівайце ядро WordPress, актыўныя для сеткі ўбудовы, тэмы і абавязковыя ўбудовы ў актуальным стане, каб рызыкі на ўзроўні прыкладання не пагаршалі праблему на ўзроўні платформы.
- Выкарыстоўвайце доступ з мінімальнымі прывілеямі для ўліковых запісаў хостынгу, SFTP/SSH, базы даных і адміністратараў WordPress.
- Падтрымлівайце правераныя рэзервовыя копіі і працэдуры аднаўлення як для файлаў сеткі, так і для баз даных.
- Адсочвайце незвычайную актыўнасць, напрыклад незнаёмыя ўліковыя запісы адміністратараў, нечаканыя змены файлаў, нетыповыя памылкі PHP або выходныя запыты.
- Падпішыцеся на паведамленні пра бяспеку хостынгу і PHP, каб рашэнні па бяспецы грунтаваліся на афіцыйнай рэкамендацыі і інфармацыі аб выпуску, а не на чутках.
Таксама важна не рэагаваць на загалоўкі празмерна. Ці закранутая канкрэтная сетка, залежыць ад яе версіі PHP, канфігурацыі сервера і ўразлівага шляху выканання кода, апісанага ў афіцыйнай рэкамендацыі. Правільны падыход — тэрміновая праверка і ўсталяванне выпраўленняў, а не здагадкі.
Кіраванае ўсталяванне выпраўленняў — частка сэрвісу
Для тых, хто будуе бізнес «вэб-сайт як паслуга», надзейнасць і бяспека з’яўляюцца часткай прадукту, які вы прадаеце. Кліенты чакаюць, што іх сайты застануцца даступнымі, пакуль каманда платформы выконвае абслугоўванне інфраструктуры за кулісамі. Хостынг для Multisite павінен мець выразна вызначаную адказнасць за тэрміновыя абнаўленні PHP, правераны працэс разгортвання і спосаб пераканацца, што выпраўленне ўсталявана.
Гэта стандарт, які мы прымяняем у хостынгу Ultimate Multisite. Выпраўленне PHP2Shell было разгорнута і ўсталявана ва ўсім нашым хостынгавым сэрвісе на працягу пяці гадзін пасля публікацыі новага выпуску PHP. Калі вам патрэбна платформа WordPress Multisite, створаная як для паўтаральных аперацый, так і для хуткага рэагавання на пагрозы бяспецы, азнаёмцеся з хостынгам Ultimate Multisite і ўпэўнена стварайце сваю наступную сетку сайтаў.
Пакінуць адказ