PHP2Shell og áhættulíkan WordPress-fjölsíðu
Nýlegi PHP2Shell öryggisveikleiki er tímabær áminning um að öryggi WordPress takmarkast ekki við kjarna WordPress, þemu og viðbætur. Þegar veikleiki hefur áhrif á PHP-keyrsluumhverfið liggur hann undir forritastaflanum sem knýr allar vefsíður á netþjóni. Það fer eftir PHP-stillingunni sem verður fyrir áhrifum og skilyrðunum sem þarf til að nýta veikleikann, en árangursrík árás gæti gefið árásaraðila leið til að keyra ófyrirséðar skipanir eða kóða á netþjónsstigi.
Fyrir sjálfstæða WordPress-vefsíðu er þetta alvarlegt. Fyrir WordPress-fjölsíðunet getur mögulegt umfang áhrifa verið mun stærra. Eitt PHP-umhverfi kann að styðja net viðskiptavinavefsíðna, netverslana, áfangasíðna og aðildargátta. Þess vegna er hröð og samræmd uppfæring grundvallarþáttur í ábyrgri hýsingu fjölsíðuneta — ekki viðhaldsverkefni sem getur beðið þar til næsti hentugi gluggi gefst.
Hvers vegna PHP-veikleikar hafa víðtækari áhrif í neti
Fjölsíðulausnin er hönnuð til að gera stjórnun margra vefsíðna skilvirka: sameiginlegar kjarnaskrár, sameiginlegar viðbætur, sameiginleg þemu og miðlæg netstjórnun draga úr endurtekinni vinnu. Sama sameiginlega innviðaumhverfi þýðir að taka verður á undirliggjandi vandamáli í kerfinu sem atburði sem varðar allt netið.
Raunverulega spurningin er ekki einfaldlega hvort eigandi einstakrar síðu hafi sett upp nýjustu uppfærsluna. Hún er hvort hýsingarvettvangurinn hafi greint PHP-útgáfuna sem verður fyrir áhrifum, beitt lagfærslu framleiðandans á viðeigandi innviði og staðfest að uppfærða keyrsluumhverfið þjóni vefsíðum viðskiptavina. Tafir geta skilið allar síður sem nota umhverfi sem verður fyrir áhrifum eftir berskjaldaðar lengur en nauðsynlegt er.
Vel stýrð viðbrögð þurfa einnig að jafna hraða og stjórn. Teymi ættu að yfirfara PHP-útgáfuskýringar og öryggisráðgjöf, setja upp lagfærða pakkann í gegnum viðtekið breytingastjórnunarferli, sannreyna virku PHP-útgáfuna, fylgjast með villuskrám og heilsu þjónustunnar og halda viðskiptavinum upplýstum ef þörf er á aðgerð af þeirra hálfu. Í flestum tilvikum ættu viðskiptavinir ekki að þurfa að elta brýna öryggisútgáfu fyrir keyrsluumhverfið eina síðu í einu.
Hvað stjórnendur WordPress-fjölsíðuneta ættu að gera
Jafnvel þegar hýsingin sér um PHP-uppfærsluna ættu netstjórnendur að nota atvikið sem tækifæri til að staðfesta eigin öryggisstöðu:
- Staðfestið virka PHP-útgáfu hjá hýsingaraðilanum og tryggið að hún innihaldi PHP2Shell-lagfærslu framleiðandans.
- Haldið WordPress-kjarnanum, viðbótum sem eru virkar á netinu, þemum og nauðsynlegum viðbótum uppfærðum svo áhætta á forritastigi aukist ekki vegna vandamáls á vettvangsstigi.
- Notið aðgang með sem minnstum réttindum fyrir hýsingu, SFTP/SSH, gagnagrunn og WordPress-stjórnandareikninga.
- Viðhaldið prófuðum afritum og endurheimtarferlum fyrir bæði netskrár og gagnagrunna.
- Fylgist með óvenjulegri virkni eins og óþekktum stjórnandareikningum, óvæntum breytingum á skrám, óeðlilegum PHP-villum eða útleiðarbeiðnum.
- Gerist áskrifendur að öryggistilkynningum frá hýsingaraðila og PHP svo öryggisákvarðanir byggist á opinberri öryggisráðgjöf og útgáfuupplýsingum fremur en orðrómi.
Einnig er mikilvægt að bregðast ekki of harkalega við fyrirsögnum. Hvort tiltekið net verður fyrir áhrifum fer eftir PHP-útgáfu þess, netþjónsstillingum og þeirri viðkvæmu kóðaleið sem lýst er í opinberri öryggisráðgjöf. Rétta nálgunin er brýn sannprófun og uppfærsla — ekki getgátur.
Stýrð uppfærsla er hluti af þjónustunni
Fyrir fólk sem byggir rekstur sinn á vefsíðu-sem-þjónustu eru áreiðanleiki og öryggi hluti af vörunni sem það selur. Viðskiptavinir búast við að síður þeirra haldist aðgengilegar á meðan vettvangsteymið sér um viðhald innviða bak við tjöldin. Hýsingaraðili fyrir fjölsíðunet ætti að hafa skýra ábyrgð á brýnum PHP-uppfærslum, sannað uppsetningarferli og leið til að sannreyna að lagfærslan sé komin til framkvæmda.
Það er sá staðall sem við fylgjum hjá Ultimate Multisite hosting. PHP2Shell-lagfærslan var sett upp og innleidd í allri hýsingarþjónustu okkar innan fimm klukkustunda frá því nýja PHP-útgáfan var birt. Ef þú vilt WordPress-fjölsíðuvettvang sem er byggður fyrir endurtekningarhæfan rekstur jafnt sem skjót öryggisviðbrögð, kynntu þér Ultimate Multisite hosting og byggðu næsta vefsíðunet þitt af öryggi.
Skildu eftir svar