PHP2Shell e o modelo de risco de WordPress Multisite
A recente vulnerabilidade de seguridade PHP2Shell é un recordatorio oportuno de que a seguridade de WordPress non se limita ao núcleo de WordPress, aos temas e aos complementos. Cando unha vulnerabilidade afecta ao tempo de execución de PHP, sitúase por debaixo da pila de aplicacións que impulsa todos os sitios dun servidor. Dependendo da configuración de PHP afectada e das condicións necesarias para a explotación, un ataque exitoso podería darlle a un atacante unha vía para executar comandos ou código non desexados a nivel de servidor.
Para un sitio independente de WordPress, iso é grave. Para unha rede de WordPress Multisite, o alcance potencial pode ser moito maior. Un único contorno de PHP pode dar soporte a unha rede de sitios de clientes, tendas, páxinas de destino e portais de adhesión. Isto fai que a aplicación rápida e coordinada de parches sexa unha parte fundamental dun aloxamento multisitio პასუხისმგable, e non unha tarefa de mantemento que poida esperar á próxima xanela conveniente.
Por que as vulnerabilidades de PHP teñen un impacto máis amplo nunha rede
Multisite está deseñado para facer eficiente a xestión de moitos sitios web: os ficheiros do núcleo compartidos, os complementos compartidos, os temas compartidos e a administración central da rede reducen o traballo repetitivo. A mesma infraestrutura compartida significa que un problema da plataforma subxacente debe tratarse como un evento que afecta a toda a rede.
A cuestión práctica non é simplemente se o propietario dun sitio individual instalou a última actualización. É se a plataforma de aloxamento identificou a versión de PHP afectada, aplicou a corrección do provedor en toda a infraestrutura pertinente e confirmou que o tempo de execución actualizado está a servir os sitios dos clientes. Os atrasos poden deixar exposto durante máis tempo do necesario cada sitio que use un contorno afectado.
Unha resposta ben xestionada tamén debe equilibrar a rapidez co control. Os equipos deben revisar as notas de versión e o aviso de PHP, despregar o paquete corrixido mediante o seu proceso establecido de cambios, verificar a versión activa de PHP, supervisar os rexistros de erros e o estado do servizo, e manter informados os clientes se é necesaria unha acción pola súa parte. Na maioría dos casos, os clientes non deberían ter que perseguir unha actualización urxente de seguridade do tempo de execución sitio por sitio.
O que deben facer os administradores de WordPress Multisite
Mesmo cando o aloxamento se encarga da actualización de PHP, os administradores da rede deberían aproveitar o incidente como unha oportunidade para confirmar a súa propia postura de seguridade:
- Confirme a versión activa de PHP co seu provedor de aloxamento e asegúrese de que inclúe a corrección PHP2Shell do provedor.
- Manteña actualizado o núcleo de WordPress, os complementos activos na rede, os temas e os complementos de uso obrigado para que os riscos a nivel de aplicación non agraven un problema a nivel de plataforma.
- Use acceso co mínimo privilexio para as contas de aloxamento, SFTP/SSH, base de datos e administrador de WordPress.
- Manteña copias de seguridade e procedementos de recuperación probados tanto para os ficheiros da rede como para as bases de datos.
- Supervise a actividade inusual, como contas de administrador descoñecidas, cambios inesperados nos ficheiros, erros anormais de PHP ou solicitudes saíntes.
- Subscríbase aos avisos de seguridade do aloxamento e de PHP para que as decisións de seguridade se baseen no aviso oficial e na información de lanzamento, e non en rumores.
Tamén é importante non reaccionar de forma excesiva aos titulares. Que unha rede concreta estea afectada depende da súa versión de PHP, da configuración do servidor e da ruta de código vulnerable descrita no aviso oficial. O enfoque correcto é a verificación e aplicación urxente de parches, non as suposicións.
A aplicación xestionada de parches forma parte do servizo
Para as persoas que están a crear un negocio de sitio web como servizo, a fiabilidade e a seguridade forman parte do produto que venden. Os clientes esperan que os seus sitios sigan dispoñibles mentres o equipo da plataforma xestiona entre bastidores o mantemento a nivel de infraestrutura. Un provedor de aloxamento multisitio debería ter unha responsabilidade clara sobre as actualizacións urxentes de PHP, un proceso de despregamento probado e unha forma de validar que a corrección está aplicada.
Ese é o estándar que aplicamos en Ultimate Multisite hosting. A corrección PHP2Shell foi despregada e aplicada en todo o noso servizo de aloxamento nun prazo de cinco horas desde a publicación da nova versión de PHP. Se quere unha plataforma de WordPress Multisite creada para operacións repetibles e tamén para unha resposta rápida de seguridade, explore Ultimate Multisite hosting e cree a súa próxima rede de sitios con confianza.
Deixa unha resposta