PHP2Shell i model rizika WordPress Multisitea
Nedavna sigurnosna ranjivost PHP2Shell pravovremeni je podsjetnik da sigurnost WordPressa nije ograničena na jezgru WordPressa, teme i dodatke. Kada ranjivost utiče na PHP runtime, ona se nalazi ispod aplikacijskog sloja koji pokreće svaku stranicu na serveru. Ovisno o zahvaćenoj PHP konfiguraciji i uvjetima potrebnim za iskorištavanje, uspješan napad mogao bi napadaču omogućiti pokretanje nenamjernih naredbi ili koda na nivou servera.
Za samostalnu WordPress stranicu to je ozbiljno. Za WordPress Multisite mrežu potencijalni obim štete može biti mnogo veći. Jedno PHP okruženje može podržavati mrežu korisničkih stranica, trgovina, odredišnih stranica i članskih portala. Zato je brzo, koordinirano instaliranje zakrpa temeljni dio odgovornog multisite hostinga — a ne zadatak održavanja koji može čekati sljedeći pogodan termin.
Zašto PHP ranjivosti imaju širi uticaj u mreži
Multisite je osmišljen kako bi upravljanje mnogim web stranicama bilo efikasno: zajedničke datoteke jezgre, zajednički dodaci, zajedničke teme i centralna administracija mreže smanjuju ponavljajući posao. Ista zajednička infrastruktura znači da se problem u osnovnoj platformi mora tretirati kao događaj na nivou cijele mreže.
Praktično pitanje nije samo je li pojedinačni vlasnik stranice instalirao najnovije ažuriranje. Pitanje je je li hosting platforma identificirala zahvaćeno PHP izdanje, primijenila dobavljačevu ispravku na relevantnoj infrastrukturi i potvrdila da ažurirani runtime opslužuje korisničke stranice. Kašnjenja mogu ostaviti svaku stranicu koja koristi zahvaćeno okruženje izloženom duže nego što je potrebno.
Dobro vođen odgovor također treba uravnotežiti brzinu i kontrolu. Timovi bi trebali pregledati PHP napomene o izdanju i sigurnosno upozorenje, implementirati ispravljeni paket kroz svoj uspostavljeni proces promjena, provjeriti aktivnu PHP verziju, pratiti dnevnike grešaka i stanje servisa te obavijestiti korisnike ako je potrebna radnja s njihove strane. U većini slučajeva korisnici ne bi trebali morati pojedinačno tražiti hitno sigurnosno izdanje runtimea za svaku stranicu.
Šta administratori WordPress Multisitea trebaju uraditi
Čak i kada se hosting brine o PHP ažuriranju, administratori mreže trebali bi iskoristiti incident kao priliku da potvrde vlastiti sigurnosni položaj:
- Potvrdite aktivnu PHP verziju kod svog hostinga i osigurajte da uključuje dobavljačevu PHP2Shell ispravku.
- Održavajte ažuriranim jezgru WordPressa, dodatke aktivne na mreži, teme i obavezne dodatke kako se rizici na nivou aplikacije ne bi nadovezali na problem na nivou platforme.
- Koristite pristup s najmanjim privilegijama za hosting, SFTP/SSH, bazu podataka i WordPress administratorske račune.
- Održavajte testirane sigurnosne kopije i procedure oporavka za datoteke mreže i baze podataka.
- Pratite neuobičajene aktivnosti kao što su nepoznati administratorski računi, neočekivane izmjene datoteka, neuobičajene PHP greške ili odlazni zahtjevi.
- Pretplatite se na obavijesti o sigurnosti hostinga i PHP-a kako bi se sigurnosne odluke zasnivale na službenom upozorenju i informacijama o izdanju, a ne na glasinama.
Također je važno izbjegavati pretjerane reakcije na naslove. Da li je određena mreža pogođena zavisi od njene PHP verzije, konfiguracije servera i putanje ranjivog koda opisane u službenom upozorenju. Ispravan pristup je hitna provjera i instaliranje zakrpe — a ne nagađanje.
Upravljano instaliranje zakrpa dio je usluge
Za ljude koji grade posao pružanja web stranica kao usluge, pouzdanost i sigurnost dio su proizvoda koji prodajete. Korisnici očekuju da njihove stranice ostanu dostupne dok tim platforme u pozadini obavlja održavanje infrastrukture. Multisite hosting treba imati jasno vlasništvo nad hitnim PHP ažuriranjima, provjeren proces implementacije i način potvrđivanja da je ispravka postavljena.
To je standard koji primjenjujemo u Ultimate Multisite hostingu. PHP2Shell ispravka je implementirana i zakrpljena u okviru naše hosting usluge u roku od pet sati od objave novog PHP izdanja. Ako želite WordPress Multisite platformu izgrađenu za ponovljive operacije, kao i brz sigurnosni odgovor, istražite Ultimate Multisite hosting i izgradite svoju sljedeću mrežu stranica s povjerenjem.
Komentariši