PHP2Shell a rizikowy model WordPress Multisite
Njedawna PHP2Shell wěstotna słabosć je na čas přišła připomnjeńka, zo wěstota WordPress njeje jenož na jadro WordPress, drastwy a tykače wobmjezowana. Hdyž słabosć běžny čas PHP potrjechi, leži pod nałoženskim składom, kotryž kóždu stronu na serwerje pohanja. Wotwisnje wot potrjecheneje konfiguracije PHP a wuměnjenjow, kotrež su za wužiwowanje trěbne, móhł wuspěšny napad napadowarjej móžnosć dać, njewotpohladane přikazy abo kod na serwerowej runinje wuwjesć.
Za samostatnu stronu WordPress je to wážne. Za syć WordPress Multisite móže potencielny wobłuk škody wjele wjetši być. Jadne wokolinje PHP móže syć zákazniskich stronow, wobchodow, přistawanskich stronow a čłonskich portalow podpěrować. Tohodla je spěšne, zjednoćene instalowanje záplat zakładny dźěl zamołwiteho multisite-hostinga — nic wothladowanska nadawka, kotraž móže do přichodneho přihódneho termina čakać.
Čehodla maja słabosće PHP w syći šěriši wuskutk
Multisite je tak wuhotowany, zo by rjadowanje wjele webstronow eficientne było: zhromadne jadrowe dataje, zhromadne tykače, zhromadne drastwy a centralna syćowa administracija wobmjezowuja wospjetnu dźěło. Ta samsna zhromadna infrastruktura woznamjenja, zo dyrbi so problem podležneje platformy jako podawk za cyłu syć wobchadźeć.
Praktiska prašenja njeje jenož, hač je indiwiduelny wobsejćeł strony najnowše aktualizowanje instalował. Prašenje je, hač je hostingowa platforma potrjechenu wersiju PHP spóznała, dodawarjowu porjedu na relewantnej infrastrukturje nałožiła a wobkrućiła, zo aktualizowany běžny čas zákazniske strony wobsluhuje. Zdlěšenja móža kóždu stronu, kotraž potrjechenu wokolinu wužiwa, dlěje hač trěbne wustajenu wostajić.
Derje rjadowana reakcija dyrbi tež spěšnosć z kontrolu wusměrić. Teamy měli wersijowe pokiwy PHP a warnowanje přepruwować, porjedowany paket přez swój zwučeny proces změnow nasadźić, aktiwnu wersiju PHP přepruwować, protokole zmylkow a staw słužby wobkedźbować a zákaznikow informować, jeli je jednanje z jich strony trěbne. W najwjace padach njeměli zákaznicy dyrbjeć nuznu wěstotnu wersiju běžneho časa jednotliwu stronu po druhej pytać.
Što bychu administratory WordPress Multisite činić měli
Samo hdyž hosting wo aktualizowanje PHP stara, měli syćowi administratory incident jako składnosć wužić, zo bychu swój wěstotny položaj wobkrućili:
- Wobkrućće aktiwnu wersiju PHP ze swojim hostom a zawěsćće, zo wobsahuje PHP2Shell-porjedu dodawarja.
- Wobchowajće jadro WordPress, w syći aktiwne tykače, drastwy a tykače must-use aktualne, zo so rizika nałoženskeje runiny z problemom platformoweje runiny njezwjazuja.
- Wužiwajće přistup po principje najmjeńšich prawow za konta hostinga, SFTP/SSH, datoweje banki a administratorow WordPress.
- Wobchowajće testowane zawěsćenja a postupy wobnowjenja za syćowe dataje kaž tež za datowe banki.
- Wobkedźbujće njezwučajnu aktiwitu, na přikład njeznate administratorske konta, njewočakowane změny datajow, njepřirodne zmylki PHP abo wonkawne naprašowanja.
- Abonujće wěstotne zdźělenki hostinga a PHP, zo bychu so wěstotne rozsudy na oficielnym warnowanju a informacijach wo wozjewjenjach zakładowali, nic na pomjankach.
Wažne je tež, na hłowowe powěsće přewjele njereagować. Hač je wěsta syć potrjechena, wotwisuje wot jeje wersije PHP, serweroweje konfiguracije a ranliweje kodoweje šćežki, kotraž je w oficielnym warnowanju wopisowana. Prawy přistup je nuzne přepruwowanje a instalowanje záplat — nic hódanje.
Rjadowane instalowanje záplat je dźěl słužby
Za ludźi, kotřiž wobchod z webstronu jako słužbu twarja, su spušćobnosć a wěstota dźěl produkta, kotryž předawaja. Zákaznicy wočakuja, zo jich strony k dispoziciji wostanu, mjeztym zo platformowy team infrastrukturu na pozadku wobdźěłuje. Multisite-host měł jasne zamołwstwo za nuzne aktualizowanja PHP, wuspytany proces nasadźenja a móžnosć měć, zo by wobkrućił, zo je porjeda na městnje.
To je standard, kotryž my pola Ultimate Multisite hosting nałožujemy. Porjeda PHP2Shell bu přez našu hostingowu słužbu w běhu pjeć hodźin po wozjewjenju noweje wersije PHP nasadźena a zazběhnjena. Jeli chceće platformu WordPress Multisite, kotraž je za wobkroćujomne operacije kaž tež za spěšnu wěstotnu reakciju wutworjena, wuslědźće Ultimate Multisite hosting a twarće swoju přichodnu syć stronow z dowěru.
Wotmołwu zawostajić