PHP2Shell i model rizika WordPress Multisitea
Nedavna sigurnosna ranjivost PHP2Shell pravodoban je podsjetnik da sigurnost WordPressa nije ograničena na WordPress jezgru, teme i dodatke. Kada ranjivost utječe na PHP radno okruženje, ona se nalazi ispod aplikacijskog sloja koji pokreće svaku web-stranicu na poslužitelju. Ovisno o zahvaćenoj PHP konfiguraciji i uvjetima potrebnima za iskorištavanje, uspješan napad mogao bi napadaču omogućiti pokretanje nenamjernih naredbi ili koda na razini poslužitelja.
Za samostalnu WordPress web-stranicu to je ozbiljno. Za WordPress Multisite mrežu potencijalni opseg štete može biti mnogo veći. Jedno PHP okruženje može podržavati mrežu korisničkih web-stranica, trgovina, odredišnih stranica i članskih portala. Zato je brzo, koordinirano instaliranje zakrpa temeljni dio odgovornog multisite hostinga — a ne zadatak održavanja koji može čekati sljedeći prikladan termin.
Zašto PHP ranjivosti imaju širi utjecaj u mreži
Multisite je osmišljen kako bi upravljanje mnogim web-stranicama bilo učinkovito: zajedničke datoteke jezgre, zajednički dodaci, zajedničke teme i središnja administracija mreže smanjuju ponavljajući rad. Ista zajednička infrastruktura znači da se problem temeljne platforme mora tretirati kao događaj na razini cijele mreže.
Praktično pitanje nije samo je li vlasnik pojedine web-stranice instalirao najnovije ažuriranje. Pitanje je je li hosting platforma identificirala zahvaćenu verziju PHP-a, primijenila proizvođačev popravak na relevantnoj infrastrukturi i potvrdila da ažurirano radno okruženje opslužuje korisničke web-stranice. Kašnjenja mogu ostaviti svaku web-stranicu koja koristi zahvaćeno okruženje izloženom dulje nego što je potrebno.
Dobro vođen odgovor također mora uravnotežiti brzinu i kontrolu. Timovi bi trebali pregledati bilješke o izdanju PHP-a i sigurnosnu obavijest, implementirati ispravljeni paket kroz svoj ustaljeni proces promjena, provjeriti aktivnu verziju PHP-a, nadzirati zapisnike pogrešaka i stanje usluge te obavijestiti korisnike ako je potrebna neka radnja s njihove strane. U većini slučajeva korisnici ne bi trebali morati pojedinačno pratiti hitno sigurnosno izdanje radnog okruženja za svaku web-stranicu.
Što bi administratori WordPress Multisitea trebali učiniti
Čak i kada hosting brine o ažuriranju PHP-a, administratori mreže trebali bi iskoristiti incident kao priliku da potvrde vlastiti sigurnosni položaj:
- Potvrdite aktivnu verziju PHP-a kod svojeg hosting pružatelja i osigurajte da uključuje proizvođačev popravak za PHP2Shell.
- Redovito ažurirajte WordPress jezgru, dodatke aktivne na mreži, teme i obavezne dodatke kako se rizici na razini aplikacije ne bi nadovezali na problem na razini platforme.
- Primjenjujte pristup s najmanjim ovlastima za hosting, SFTP/SSH, bazu podataka i WordPress administratorske račune.
- Održavajte testirane sigurnosne kopije i postupke oporavka za mrežne datoteke i baze podataka.
- Nadzirite neuobičajenu aktivnost poput nepoznatih administratorskih računa, neočekivanih promjena datoteka, neuobičajenih PHP pogrešaka ili odlaznih zahtjeva.
- Pretplatite se na sigurnosne obavijesti hostinga i PHP-a kako bi se sigurnosne odluke temeljile na službenim informacijama iz sigurnosnih obavijesti i izdanja, a ne na glasinama.
Također je važno ne reagirati pretjerano na naslove. To hoće li određena mreža biti pogođena ovisi o njezinoj verziji PHP-a, konfiguraciji poslužitelja i ranjivom putu koda opisanom u službenoj sigurnosnoj obavijesti. Ispravan pristup je hitna provjera i instaliranje zakrpa — a ne nagađanje.
Upravljano instaliranje zakrpa dio je usluge
Za ljude koji grade poslovanje temeljeno na web-stranicama kao usluzi, pouzdanost i sigurnost dio su proizvoda koji prodajete. Korisnici očekuju da njihove web-stranice ostanu dostupne dok tim za platformu u pozadini obavlja održavanje infrastrukture. Multisite hosting pružatelj trebao bi imati jasno vlasništvo nad hitnim PHP ažuriranjima, provjeren proces implementacije i način provjere da je popravak primijenjen.
To je standard koji primjenjujemo u Ultimate Multisite hostingu. Popravak za PHP2Shell implementiran je i zakrpan u cijeloj našoj hosting usluzi unutar pet sati od objave novog izdanja PHP-a. Ako želite WordPress Multisite platformu izgrađenu za ponovljive operacije, kao i brz sigurnosni odgovor, istražite Ultimate Multisite hosting i s pouzdanjem izgradite svoju sljedeću mrežu web-stranica.
Odgovori