PHP2Shell و مدل خطر وردپرس مالتی‌سایت
آسیب‌پذیری امنیتی اخیر PHP2Shell یادآوری به‌موقعی است که امنیت وردپرس تنها به هسته، قالب‌ها و افزونه‌های وردپرس محدود نمی‌شود. هنگامی که یک آسیب‌پذیری بر زمان اجرای PHP تأثیر می‌گذارد، در زیر پشتهٔ برنامه‌ای قرار می‌گیرد که هر سایت را در یک سرور اجرا می‌کند. بسته به پیکربندی آسیب‌دیدهٔ PHP و شرایط لازم برای بهره‌برداری، یک حملهٔ موفق می‌تواند راهی برای اجرای دستورها یا کدهای ناخواسته در سطح سرور به مهاجم بدهد.
برای یک سایت مستقل وردپرس، این موضوع جدی است. برای یک شبکهٔ وردپرس مالتی‌سایت، دامنهٔ بالقوهٔ آسیب می‌تواند بسیار گسترده‌تر باشد. یک محیط واحد PHP ممکن است از شبکه‌ای از سایت‌های مشتریان، فروشگاه‌ها، صفحه‌های فرود و پورتال‌های عضویت پشتیبانی کند. به همین دلیل، وصله‌گذاری سریع و هماهنگ بخش اساسی میزبانی مسئولانهٔ مالتی‌سایت است—نه یک وظیفهٔ نگهداری که بتواند تا زمان مناسب بعدی به تأخیر بیفتد.
چرا آسیب‌پذیری‌های PHP در یک شبکه تأثیر گسترده‌تری دارند
مالتی‌سایت برای کارآمد ساختن مدیریت وب‌سایت‌های متعدد طراحی شده است: فایل‌های هستهٔ مشترک، افزونه‌های مشترک، قالب‌های مشترک و مدیریت مرکزی شبکه، کارهای تکراری را کاهش می‌دهند. همین زیرساخت مشترک به این معناست که یک مشکل در پلتفرم زیربنایی باید به‌عنوان یک رویداد در سراسر شبکه تلقی شود.
پرسش عملی تنها این نیست که آیا مالک یک سایت جداگانه آخرین به‌روزرسانی را نصب کرده است یا نه. بلکه این است که آیا پلتفرم میزبانی نسخهٔ آسیب‌دیدهٔ PHP را شناسایی کرده، اصلاحیهٔ فروشنده را در سراسر زیرساخت مرتبط اعمال کرده و تأیید نموده است که زمان اجرای به‌روزشده به سایت‌های مشتریان خدمات می‌دهد. تأخیرها می‌توانند هر سایتی را که از یک محیط آسیب‌دیده استفاده می‌کند، بیش از زمان لازم در معرض خطر قرار دهند.
یک پاسخ درست‌مدیریت‌شده همچنین باید میان سرعت و کنترل تعادل برقرار کند. تیم‌ها باید یادداشت‌های انتشار و اطلاعیهٔ PHP را بررسی کنند، بستهٔ اصلاح‌شده را از طریق روند تثبیت‌شدهٔ تغییرات خود مستقر سازند، نسخهٔ فعال PHP را تأیید کنند، گزارش‌های خطا و سلامت سرویس را نظارت نمایند و اگر اقدامی از سوی مشتری لازم است، آنان را آگاه نگه دارند. در بیشتر موارد، مشتریان نباید مجبور باشند یک انتشار فوری امنیتی مربوط به زمان اجرا را سایت‌به‌سایت پیگیری کنند.
مدیران وردپرس مالتی‌سایت چه باید بکنند
حتی زمانی که میزبانی مسئول به‌روزرسانی PHP است، مدیران شبکه باید از این رویداد به‌عنوان فرصتی برای تأیید وضعیت امنیتی خود استفاده کنند:
- نسخهٔ فعال PHP را تأیید کنید با میزبان خود و مطمئن شوید که شامل اصلاحیهٔ PHP2Shell فروشنده است.
- هستهٔ وردپرس، افزونه‌های فعال در شبکه، قالب‌ها و افزونه‌های الزامی را به‌روز نگه دارید تا خطرهای در سطح برنامه با یک مشکل در سطح پلتفرم ترکیب نشوند.
- از دسترسی با حداقل امتیاز استفاده کنید برای حساب‌های میزبانی، SFTP/SSH، پایگاه داده و مدیر وردپرس.
- نسخه‌های پشتیبان آزمایش‌شده و روش‌های بازیابی را نگهداری کنید هم برای فایل‌های شبکه و هم برای پایگاه‌های داده.
- فعالیت‌های غیرعادی را نظارت کنید؛ مانند حساب‌های مدیر ناآشنا، تغییرات غیرمنتظرهٔ فایل، خطاهای غیرعادی PHP یا درخواست‌های خروجی.
- در اطلاعیه‌های امنیتی میزبانی و PHP مشترک شوید تا تصمیم‌های امنیتی بر اساس اطلاعیه و اطلاعات انتشار رسمی گرفته شوند، نه شایعات.
همچنین مهم است که به تیترهای خبری واکنش افراطی نشان ندهید. اینکه یک شبکهٔ مشخص آسیب‌دیده است یا نه، به نسخهٔ PHP آن، پیکربندی سرور و مسیر کد آسیب‌پذیر شرح‌داده‌شده در اطلاعیهٔ رسمی بستگی دارد. رویکرد درست، تأیید و وصله‌گذاری فوری است—نه حدس و گمان.
وصله‌گذاری مدیریت‌شده بخشی از خدمات است
برای افرادی که یک کسب‌وکار وب‌سایت به‌عنوان سرویس می‌سازند، قابلیت اطمینان و امنیت بخشی از محصولی است که می‌فروشند. مشتریان انتظار دارند سایت‌هایشان در دسترس بمانند، در حالی که تیم پلتفرم نگهداری در سطح زیرساخت را در پس‌زمینه انجام می‌دهد. یک میزبان مالتی‌سایت باید مسئولیت‌پذیری روشن برای به‌روزرسانی‌های فوری PHP، روند استقرار اثبات‌شده و راهی برای اعتبارسنجی نصب بودن اصلاحیه داشته باشد.
این همان معیاری است که ما در Ultimate Multisite hosting به کار می‌گیریم. اصلاحیهٔ PHP2Shell در سراسر خدمات میزبانی ما ظرف پنج ساعت پس از انتشار نسخهٔ جدید PHP مستقر و وصله‌گذاری شد. اگر پلتفرم وردپرس مالتی‌سایتی می‌خواهید که هم برای عملیات تکرارپذیر و هم برای پاسخ‌گویی سریع امنیتی ساخته شده باشد، Ultimate Multisite hosting را بررسی کنید و شبکهٔ سایت بعدی خود را با اطمینان بسازید.
جواب دهید