PHP2Shell и моделът на риска при WordPress Multisite
Скорошната уязвимост в сигурността PHP2Shell е навременно напомняне, че сигурността на WordPress не се ограничава до ядрото, темите и плъгините на WordPress. Когато уязвимост засяга средата за изпълнение на PHP, тя се намира под приложния стек, който захранва всеки сайт на сървъра. В зависимост от засегнатата PHP конфигурация и условията, необходими за експлоатация, успешна атака може да даде на нападател възможност да изпълнява непредвидени команди или код на ниво сървър.
За самостоятелен WordPress сайт това е сериозно. За WordPress Multisite мрежа потенциалният обхват на щетите може да бъде много по-голям. Една PHP среда може да поддържа мрежа от клиентски сайтове, магазини, целеви страници и портали за членове. Това прави бързото, координирано прилагане на корекции основна част от отговорното Multisite хостване, а не задача по поддръжката, която може да изчака до следващия удобен момент.
Защо PHP уязвимостите имат по-широко въздействие в една мрежа
Multisite е създаден, за да направи управлението на много уебсайтове ефективно: споделените основни файлове, споделените плъгини, споделените теми и централното администриране на мрежата намаляват повтарящата се работа. Същата споделена инфраструктура означава, че проблем в базовата платформа трябва да се разглежда като събитие за цялата мрежа.
Практическият въпрос не е просто дали собственикът на отделен сайт е инсталирал най-новата актуализация. Въпросът е дали хостинг платформата е идентифицирала засегнатата версия на PHP, приложила е корекцията на доставчика в съответната инфраструктура и е потвърдила, че актуализираната среда за изпълнение обслужва клиентските сайтове. Забавянията могат да оставят всеки сайт, използващ засегната среда, изложен на риск по-дълго от необходимото.
Добре организираната реакция трябва също да балансира бързината с контрола. Екипите трябва да прегледат бележките по изданието и бюлетина за PHP, да внедрят коригирания пакет чрез установения си процес за промени, да проверят активната версия на PHP, да наблюдават регистрите за грешки и състоянието на услугите и да информират клиентите, ако е необходимо действие от тяхна страна. В повечето случаи клиентите не би трябвало да се налага да преследват спешна актуализация за сигурността на средата за изпълнение, сайт по сайт.
Какво трябва да направят администраторите на WordPress Multisite
Дори когато хостингът се грижи за PHP актуализацията, администраторите на мрежата трябва да използват инцидента като възможност да потвърдят собствената си позиция по сигурността:
- Потвърдете активната версия на PHP при своя хостинг доставчик и се уверете, че включва корекцията за PHP2Shell от доставчика.
- Поддържайте ядрото на WordPress, плъгините, активирани за мрежата, темите и задължителните плъгини актуализирани, така че рисковете на ниво приложение да не се усложняват от проблем на ниво платформа.
- Използвайте достъп с минимални привилегии за хостинг акаунти, SFTP/SSH, бази данни и администраторски акаунти в WordPress.
- Поддържайте тествани резервни копия и процедури за възстановяване както за файловете на мрежата, така и за базите данни.
- Наблюдавайте за необичайна активност, като непознати администраторски акаунти, неочаквани промени по файлове, необичайни PHP грешки или изходящи заявки.
- Абонирайте се за известията за сигурност на хостинга и PHP, за да се основават решенията за сигурността на официалния бюлетин и информацията за изданията, а не на слухове.
Също така е важно да не се реагира прекалено на заглавията. Дали дадена мрежа е засегната зависи от нейната PHP версия, конфигурацията на сървъра и уязвимия кодов път, описан в официалния бюлетин. Правилният подход е спешна проверка и прилагане на корекции, а не предположения.
Управляваното прилагане на корекции е част от услугата
За хората, които изграждат бизнес с уебсайт като услуга, надеждността и сигурността са част от продукта, който продавате. Клиентите очакват сайтовете им да останат достъпни, докато екипът на платформата извършва поддръжката на инфраструктурно ниво зад кулисите. Multisite хостингът трябва да има ясно определена отговорност за спешните PHP актуализации, доказан процес за внедряване и начин да потвърди, че корекцията е приложена.
Това е стандартът, който прилагаме в Ultimate Multisite hosting. Корекцията за PHP2Shell беше внедрена и приложена в цялата ни хостинг услуга в рамките на пет часа след публикуването на новото PHP издание. Ако искате WordPress Multisite платформа, създадена както за повторяеми операции, така и за бърза реакция по сигурността, разгледайте Ultimate Multisite hosting и изградете следващата си мрежа от сайтове с увереност.
Вашият коментар