PHP2Shell a model rizik WordPress Multisite
Nedávná bezpečnostní zranitelnost PHP2Shell je včasnou připomínkou, že zabezpečení WordPressu se neomezuje na jádro WordPressu, šablony a pluginy. Pokud zranitelnost ovlivňuje běhové prostředí PHP, nachází se pod aplikační vrstvou, která pohání každý web na serveru. V závislosti na dotčené konfiguraci PHP a podmínkách nutných pro zneužití by úspěšný útok mohl útočníkovi umožnit spouštět nezamýšlené příkazy nebo kód na úrovni serveru.
Pro samostatný web WordPressu je to vážné. Pro síť WordPress Multisite však může být potenciální rozsah dopadu mnohem větší. Jedno prostředí PHP může podporovat síť zákaznických webů, e-shopů, vstupních stránek a členských portálů. Proto je rychlé a koordinované nasazování oprav základní součástí odpovědného hostování multisite — nikoli úkol údržby, který může počkat na další vhodné okno.
Proč mají zranitelnosti PHP v síti širší dopad
Multisite je navrženo tak, aby bylo efektivní spravovat mnoho webů: sdílené soubory jádra, sdílené pluginy, sdílené šablony a centrální správa sítě omezují opakovanou práci. Stejná sdílená infrastruktura znamená, že problém se základní platformou musí být považován za událost týkající se celé sítě.
Praktickou otázkou není pouze to, zda vlastník jednotlivého webu nainstaloval nejnovější aktualizaci. Jde o to, zda hostingová platforma identifikovala dotčené vydání PHP, nasadila opravu dodavatele v příslušné infrastruktuře a potvrdila, že aktualizované běhové prostředí obsluhuje zákaznické weby. Prodlevy mohou vystavit každý web používající dotčené prostředí riziku déle, než je nutné.
Dobře řízená reakce musí také vyvažovat rychlost a kontrolu. Týmy by měly zkontrolovat poznámky k vydání PHP a bezpečnostní doporučení, nasadit opravený balíček prostřednictvím zavedeného procesu změn, ověřit aktivní verzi PHP, sledovat protokoly chyb a stav služeb a informovat zákazníky, pokud je z jejich strany vyžadována nějaká akce. Ve většině případů by zákazníci neměli muset řešit naléhavou bezpečnostní aktualizaci běhového prostředí pro každý web zvlášť.
Co by měli správci WordPress Multisite udělat
I když se o aktualizaci PHP stará hosting, správci sítě by měli incident využít jako příležitost k ověření vlastního stavu zabezpečení:
- Potvrďte aktivní verzi PHP u svého hostingu a ujistěte se, že obsahuje opravu PHP2Shell od dodavatele.
- Udržujte aktualizované jádro WordPressu, pluginy aktivní v síti, šablony a povinně používané pluginy, aby se rizika na aplikační úrovni nekombinovala s problémem na úrovni platformy.
- Používejte přístup s nejnižšími oprávněními pro účty hostingu, SFTP/SSH, databáze a správce WordPressu.
- Udržujte otestované zálohy a postupy obnovy pro soubory sítě i databáze.
- Sledujte neobvyklou aktivitu, například neznámé účty správců, neočekávané změny souborů, nestandardní chyby PHP nebo odchozí požadavky.
- Přihlaste se k odběru bezpečnostních oznámení hostingu a PHP, aby bezpečnostní rozhodnutí vycházela z oficiálního bezpečnostního doporučení a informací o vydání, nikoli z fám.
Je také důležité nereagovat na titulky přehnaně. To, zda je konkrétní síť ovlivněna, závisí na její verzi PHP, konfiguraci serveru a zranitelné cestě kódu popsané v oficiálním bezpečnostním doporučení. Správným přístupem je naléhavé ověření a nasazení opravy — nikoli dohady.
Spravované nasazování oprav je součástí služby
Pro lidi, kteří budují podnikání typu web jako služba, jsou spolehlivost a bezpečnost součástí produktu, který prodávají. Zákazníci očekávají, že jejich weby zůstanou dostupné, zatímco tým platformy v zákulisí řeší údržbu infrastruktury. Hosting multisite by měl mít jasně stanovenou odpovědnost za naléhavé aktualizace PHP, ověřený proces nasazení a způsob, jak potvrdit, že je oprava zavedena.
To je standard, který uplatňujeme v hostingu Ultimate Multisite. Oprava PHP2Shell byla nasazena a aplikována v celé naší hostingové službě do pěti hodin od zveřejnění nového vydání PHP. Pokud chcete platformu WordPress Multisite vytvořenou pro opakovatelné provozní postupy i rychlou reakci na bezpečnostní incidenty, prozkoumejte hosting Ultimate Multisite a budujte svou další síť webů s jistotou.
Napsat komentář