PHP2Shell و مدل ریسک وردپرس چندسایته
آسیب‌پذیری امنیتی اخیر PHP2Shell یادآوری به‌موقعی است که امنیت وردپرس تنها به هسته، پوسته‌ها و افزونه‌های وردپرس محدود نمی‌شود. هنگامی که یک آسیب‌پذیری بر زمان اجرای PHP تأثیر می‌گذارد، در لایه‌ای زیر پشتهٔ برنامه قرار می‌گیرد که هر وب‌سایت روی یک سرور را تأمین می‌کند. بسته به پیکربندی PHP آسیب‌دیده و شرایط لازم برای بهره‌برداری، یک حملهٔ موفق می‌تواند مسیری برای اجرای فرمان‌ها یا کدهای ناخواسته در سطح سرور در اختیار مهاجم قرار دهد.
برای یک وب‌سایت وردپرس مستقل، این موضوع جدی است. برای یک شبکهٔ وردپرس چندسایته، دامنهٔ بالقوهٔ خسارت می‌تواند بسیار بزرگ‌تر باشد. یک محیط PHP ممکن است از شبکه‌ای از وب‌سایت‌های مشتریان، فروشگاه‌ها، صفحات فرود و پورتال‌های عضویت پشتیبانی کند. این امر وصله‌سازی سریع و هماهنگ را به بخشی اساسی از میزبانی مسئولانهٔ چندسایته تبدیل می‌کند؛ نه وظیفه‌ای نگهداری که بتوان آن را تا زمان مناسب بعدی به تأخیر انداخت.
چرا آسیب‌پذیری‌های PHP در یک شبکه تأثیر گسترده‌تری دارند
چندسایته برای کارآمد کردن مدیریت تعداد زیادی وب‌سایت طراحی شده است: فایل‌های هستهٔ مشترک، افزونه‌های مشترک، پوسته‌های مشترک و مدیریت مرکزی شبکه، کارهای تکراری را کاهش می‌دهند. همین زیرساخت مشترک به این معناست که یک مشکل در پلتفرم زیربنایی باید به‌عنوان رویدادی در سراسر شبکه در نظر گرفته شود.
پرسش عملی صرفاً این نیست که آیا مالک یک وب‌سایت جداگانه آخرین به‌روزرسانی را نصب کرده است یا نه. بلکه این است که آیا پلتفرم میزبانی نسخهٔ آسیب‌دیدهٔ PHP را شناسایی کرده، اصلاحیهٔ ارائه‌دهنده را در سراسر زیرساخت مرتبط اعمال کرده و تأیید کرده است که زمان اجرای به‌روزشده به وب‌سایت‌های مشتریان سرویس می‌دهد. تأخیرها می‌توانند همهٔ وب‌سایت‌هایی را که از یک محیط آسیب‌دیده استفاده می‌کنند، بیش از زمان لازم در معرض خطر قرار دهند.
یک واکنش درست همچنین باید میان سرعت و کنترل تعادل برقرار کند. تیم‌ها باید یادداشت‌های انتشار و توصیه‌نامهٔ PHP را بررسی کنند، بستهٔ اصلاح‌شده را از طریق فرایند تغییر تثبیت‌شدهٔ خود مستقر کنند، نسخهٔ فعال PHP را تأیید کنند، گزارش‌های خطا و سلامت سرویس را پایش کنند و در صورت نیاز به اقدامی از سوی مشتریان، آن‌ها را مطلع نگه دارند. در بیشتر موارد، مشتریان نباید مجبور باشند یک انتشار امنیتی فوری برای زمان اجرا را به‌صورت جداگانه و وب‌سایت‌به‌وب‌سایت پیگیری کنند.
مدیران وردپرس چندسایته چه کاری باید انجام دهند
حتی زمانی که میزبانی از به‌روزرسانی PHP مراقبت می‌کند، مدیران شبکه باید از این رویداد به‌عنوان فرصتی برای تأیید وضعیت امنیتی خود استفاده کنند:
- نسخهٔ فعال PHP را تأیید کنید با میزبان خود و مطمئن شوید که شامل اصلاحیهٔ PHP2Shell ارائه‌دهنده است.
- هستهٔ وردپرس، افزونه‌های فعال در شبکه، پوسته‌ها و افزونه‌های ضروری را به‌روز نگه دارید تا ریسک‌های سطح برنامه، مشکل سطح پلتفرم را تشدید نکنند.
- از دسترسی با حداقل سطح مجوز استفاده کنید برای حساب‌های میزبانی، SFTP/SSH، پایگاه داده و مدیر وردپرس.
- از نسخه‌های پشتیبان آزمایش‌شده و رویه‌های بازیابی نگهداری کنید برای فایل‌ها و پایگاه‌های دادهٔ شبکه.
- فعالیت‌های غیرعادی را پایش کنید؛ مانند حساب‌های مدیریت ناشناس، تغییرات غیرمنتظرهٔ فایل‌ها، خطاهای غیرعادی PHP یا درخواست‌های خروجی.
- در اعلان‌های امنیتی میزبانی و PHP مشترک شوید تا تصمیم‌های امنیتی بر اساس توصیه‌نامه و اطلاعات انتشار رسمی باشند، نه شایعات.
همچنین مهم است که به تیتر خبرها واکنش افراطی نشان ندهید. اینکه یک شبکهٔ مشخص تحت تأثیر قرار گرفته است یا نه، به نسخهٔ PHP، پیکربندی سرور و مسیر کد آسیب‌پذیر شرح‌داده‌شده در توصیه‌نامهٔ رسمی بستگی دارد. رویکرد درست، بررسی و وصله‌سازی فوری است؛ نه حدس و گمان.
وصله‌سازی مدیریت‌شده بخشی از سرویس است
برای افرادی که کسب‌وکار وب‌سایت به‌عنوان سرویس ایجاد می‌کنند، قابلیت اطمینان و امنیت بخشی از محصولی است که می‌فروشند. مشتریان انتظار دارند وب‌سایت‌هایشان در دسترس باقی بمانند، در حالی که تیم پلتفرم نگهداری در سطح زیرساخت را پشت صحنه مدیریت می‌کند. یک میزبان چندسایته باید مسئولیت‌پذیری شفافی برای به‌روزرسانی‌های فوری PHP، فرایند استقرار اثبات‌شده و روشی برای اعتبارسنجی اعمال شدن اصلاحیه داشته باشد.
این استانداردی است که ما در میزبانی Ultimate Multisite اعمال می‌کنیم. اصلاحیهٔ PHP2Shell در سراسر سرویس میزبانی ما ظرف پنج ساعت پس از انتشار نسخهٔ جدید PHP مستقر و وصله شد. اگر پلتفرم وردپرس چندسایته‌ای می‌خواهید که هم برای عملیات تکرارپذیر و هم برای واکنش سریع امنیتی ساخته شده باشد، میزبانی Ultimate Multisite را بررسی کنید و شبکهٔ وب‌سایت بعدی خود را با اطمینان بسازید.
دیدگاهتان را بنویسید