Το μοντέλο κινδύνου του PHP2Shell και του WordPress Multisite
Η πρόσφατη ευπάθεια ασφαλείας PHP2Shell υπενθυμίζει έγκαιρα ότι η ασφάλεια του WordPress δεν περιορίζεται στον πυρήνα, τα θέματα και τα πρόσθετα του WordPress. Όταν μια ευπάθεια επηρεάζει το περιβάλλον εκτέλεσης PHP, βρίσκεται κάτω από τη στοίβα εφαρμογών που υποστηρίζει κάθε ιστότοπο σε έναν διακομιστή. Ανάλογα με την επηρεαζόμενη διαμόρφωση PHP και τις συνθήκες που απαιτούνται για την εκμετάλλευση, μια επιτυχής επίθεση θα μπορούσε να δώσει σε έναν επιτιθέμενο τη δυνατότητα να εκτελέσει μη προβλεπόμενες εντολές ή κώδικα σε επίπεδο διακομιστή.
Για έναν αυτόνομο ιστότοπο WordPress, αυτό είναι σοβαρό. Για ένα δίκτυο WordPress Multisite, η πιθανή έκταση των επιπτώσεων μπορεί να είναι πολύ μεγαλύτερη. Ένα μόνο περιβάλλον PHP μπορεί να υποστηρίζει ένα δίκτυο από ιστότοπους πελατών, ηλεκτρονικά καταστήματα, σελίδες προορισμού και πύλες μελών. Αυτό καθιστά την ταχεία, συντονισμένη εφαρμογή διορθώσεων θεμελιώδες μέρος της υπεύθυνης φιλοξενίας multisite — όχι μια εργασία συντήρησης που μπορεί να περιμένει μέχρι το επόμενο βολικό χρονικό παράθυρο.
Γιατί οι ευπάθειες της PHP έχουν ευρύτερο αντίκτυπο σε ένα δίκτυο
Το Multisite έχει σχεδιαστεί ώστε η διαχείριση πολλών ιστοτόπων να είναι αποτελεσματική: τα κοινόχρηστα αρχεία πυρήνα, τα κοινόχρηστα πρόσθετα, τα κοινόχρηστα θέματα και η κεντρική διαχείριση δικτύου μειώνουν την επαναλαμβανόμενη εργασία. Η ίδια κοινόχρηστη υποδομή σημαίνει ότι ένα πρόβλημα στην υποκείμενη πλατφόρμα πρέπει να αντιμετωπίζεται ως συμβάν που αφορά ολόκληρο το δίκτυο.
Το πρακτικό ερώτημα δεν είναι απλώς αν ο ιδιοκτήτης ενός μεμονωμένου ιστότοπου έχει εγκαταστήσει την πιο πρόσφατη ενημέρωση. Είναι αν η πλατφόρμα φιλοξενίας έχει εντοπίσει την επηρεαζόμενη έκδοση PHP, έχει εφαρμόσει τη διόρθωση του προμηθευτή στη σχετική υποδομή και έχει επιβεβαιώσει ότι το ενημερωμένο περιβάλλον εκτέλεσης εξυπηρετεί τους ιστότοπους των πελατών. Οι καθυστερήσεις μπορεί να αφήσουν κάθε ιστότοπο που χρησιμοποιεί ένα επηρεαζόμενο περιβάλλον εκτεθειμένο για περισσότερο χρόνο από όσο χρειάζεται.
Μια σωστά διαχειριζόμενη απόκριση χρειάζεται επίσης να εξισορροπεί την ταχύτητα με τον έλεγχο. Οι ομάδες θα πρέπει να εξετάζουν τις σημειώσεις έκδοσης και τη συμβουλευτική ανακοίνωση της PHP, να αναπτύσσουν το διορθωμένο πακέτο μέσω της καθιερωμένης διαδικασίας αλλαγών τους, να επαληθεύουν την ενεργή έκδοση PHP, να παρακολουθούν τα αρχεία καταγραφής σφαλμάτων και την υγεία των υπηρεσιών και να ενημερώνουν τους πελάτες εάν απαιτείται κάποια ενέργεια από την πλευρά τους. Στις περισσότερες περιπτώσεις, οι πελάτες δεν θα πρέπει να χρειάζεται να αναζητούν μια επείγουσα έκδοση ασφαλείας του περιβάλλοντος εκτέλεσης για κάθε ιστότοπο ξεχωριστά.
Τι πρέπει να κάνουν οι διαχειριστές του WordPress Multisite
Ακόμη και όταν η φιλοξενία αναλαμβάνει την ενημέρωση της PHP, οι διαχειριστές δικτύου θα πρέπει να χρησιμοποιούν το συμβάν ως ευκαιρία για να επιβεβαιώσουν τη δική τους κατάσταση ασφάλειας:
- Επιβεβαιώστε την ενεργή έκδοση PHP με τον πάροχο φιλοξενίας σας και βεβαιωθείτε ότι περιλαμβάνει τη διόρθωση PHP2Shell του προμηθευτή.
- Διατηρείτε ενημερωμένα τον πυρήνα του WordPress, τα πρόσθετα που είναι ενεργά σε επίπεδο δικτύου, τα θέματα και τα υποχρεωτικής χρήσης πρόσθετα, ώστε οι κίνδυνοι σε επίπεδο εφαρμογής να μην επιδεινώνουν ένα ζήτημα σε επίπεδο πλατφόρμας.
- Χρησιμοποιείτε πρόσβαση ελάχιστων προνομίων για λογαριασμούς φιλοξενίας, SFTP/SSH, βάσης δεδομένων και διαχειριστή WordPress.
- Διατηρείτε δοκιμασμένα αντίγραφα ασφαλείας και διαδικασίες ανάκτησης τόσο για τα αρχεία του δικτύου όσο και για τις βάσεις δεδομένων.
- Παρακολουθείτε ασυνήθιστη δραστηριότητα, όπως άγνωστους λογαριασμούς διαχειριστή, απροσδόκητες αλλαγές αρχείων, μη φυσιολογικά σφάλματα PHP ή εξερχόμενα αιτήματα.
- Εγγραφείτε στις ειδοποιήσεις ασφαλείας της φιλοξενίας και της PHP, ώστε οι αποφάσεις ασφαλείας να βασίζονται στην επίσημη συμβουλευτική ανακοίνωση και στις πληροφορίες έκδοσης και όχι σε φήμες.
Είναι επίσης σημαντικό να αποφεύγεται η υπερβολική αντίδραση στους τίτλους ειδήσεων. Το αν ένα συγκεκριμένο δίκτυο επηρεάζεται εξαρτάται από την έκδοση PHP, τη διαμόρφωση του διακομιστή και τη διαδρομή ευάλωτου κώδικα που περιγράφεται στην επίσημη συμβουλευτική ανακοίνωση. Η σωστή προσέγγιση είναι η επείγουσα επαλήθευση και η εφαρμογή διορθώσεων — όχι οι εικασίες.
Η διαχειριζόμενη εφαρμογή διορθώσεων αποτελεί μέρος της υπηρεσίας
Για όσους δημιουργούν μια επιχείρηση website-as-a-service, η αξιοπιστία και η ασφάλεια αποτελούν μέρος του προϊόντος που πουλάτε. Οι πελάτες αναμένουν ότι οι ιστότοποί τους θα παραμένουν διαθέσιμοι, ενώ η ομάδα της πλατφόρμας χειρίζεται στο παρασκήνιο τη συντήρηση σε επίπεδο υποδομής. Ένας πάροχος φιλοξενίας multisite θα πρέπει να έχει σαφή ευθύνη για τις επείγουσες ενημερώσεις PHP, μια αποδεδειγμένη διαδικασία ανάπτυξης και έναν τρόπο να επαληθεύει ότι η διόρθωση έχει εφαρμοστεί.
Αυτό είναι το πρότυπο που εφαρμόζουμε στη φιλοξενία Ultimate Multisite. Η διόρθωση PHP2Shell αναπτύχθηκε και εφαρμόστηκε σε όλη την υπηρεσία φιλοξενίας μας εντός πέντε ωρών από τη δημοσίευση της νέας έκδοσης PHP. Αν θέλετε μια πλατφόρμα WordPress Multisite που έχει σχεδιαστεί τόσο για επαναλαμβανόμενες λειτουργίες όσο και για ταχεία απόκριση σε ζητήματα ασφαλείας, εξερευνήστε τη φιλοξενία Ultimate Multisite και δημιουργήστε το επόμενο δίκτυο ιστοτόπων σας με σιγουριά.
Αφήστε μια απάντηση