PHP2Shell ir „WordPress Multisite“ rizikos modelis
Neseniai aptiktas PHP2Shell saugumo pažeidžiamumas yra savalaikis priminimas, kad „WordPress“ saugumas neapsiriboja „WordPress“ branduoliu, temomis ir įskiepiais. Kai pažeidžiamumas paveikia PHP vykdymo aplinką, jis yra žemiau programų sluoksnio, kuris palaiko kiekvieną serveryje esančią svetainę. Atsižvelgiant į paveiktą PHP konfigūraciją ir išnaudojimui reikalingas sąlygas, sėkminga ataka gali suteikti užpuolikui galimybę serverio lygmeniu vykdyti nenumatytas komandas ar kodą.
Atskirai veikiančiai „WordPress“ svetainei tai yra rimta problema. „WordPress Multisite“ tinklui galimas poveikio mastas gali būti gerokai didesnis. Viena PHP aplinka gali aptarnauti klientų svetainių, parduotuvių, nukreipimo puslapių ir narystės portalų tinklą. Todėl greitas, koordinuotas pataisų diegimas yra esminė atsakingo kelių svetainių prieglobos valdymo dalis, o ne priežiūros užduotis, kuri gali laukti kito patogaus laiko lango.
Kodėl PHP pažeidžiamumai tinkle turi platesnį poveikį
„Multisite“ sukurta tam, kad daugelio svetainių valdymas būtų efektyvus: bendri branduolio failai, bendri įskiepiai, bendros temos ir centralizuotas tinklo administravimas sumažina pasikartojantį darbą. Ta pati bendra infrastruktūra reiškia, kad pagrindinės platformos problema turi būti vertinama kaip viso tinklo incidentas.
Praktinis klausimas nėra vien tai, ar atskiros svetainės savininkas įdiegė naujausią atnaujinimą. Svarbu, ar prieglobos platforma nustatė paveiktą PHP leidimą, pritaikė tiekėjo pataisą visoje susijusioje infrastruktūroje ir patvirtino, kad atnaujinta vykdymo aplinka aptarnauja klientų svetaines. Delsimas gali palikti visas paveiktoje aplinkoje veikiančias svetaines pažeidžiamas ilgiau, nei būtina.
Tinkamai valdant atsaką taip pat reikia suderinti greitį ir kontrolę. Komandos turėtų peržiūrėti PHP leidimo pastabas ir saugumo pranešimą, įdiegti pataisytą paketą pagal nustatytą pakeitimų valdymo procesą, patikrinti aktyvią PHP versiją, stebėti klaidų žurnalus bei paslaugų būklę ir informuoti klientus, jei iš jų pusės reikia imtis veiksmų. Daugeliu atvejų klientams neturėtų tekti skubiai ieškoti vykdymo aplinkos saugumo leidimo ir diegti jį kiekvienoje svetainėje atskirai.
Ką turėtų daryti „WordPress Multisite“ administratoriai
Net jei prieglobos paslaugų teikėjas pasirūpina PHP atnaujinimu, tinklo administratoriai turėtų pasinaudoti incidentu kaip galimybe patvirtinti savo saugumo būklę:
- Patvirtinkite aktyvią PHP versiją su savo prieglobos paslaugų teikėju ir įsitikinkite, kad joje yra tiekėjo PHP2Shell pataisa.
- Nuolat atnaujinkite „WordPress“ branduolį, visame tinkle aktyvius įskiepius, temas ir privalomai naudojamus įskiepius, kad programos lygmens rizika nepadidintų platformos lygmens problemos.
- Taikykite mažiausių teisių principą prieglobos, SFTP/SSH, duomenų bazės ir „WordPress“ administratorių paskyroms.
- Palaikykite patikrintas atsargines kopijas ir atkūrimo procedūras tiek tinklo failams, tiek duomenų bazėms.
- Stebėkite neįprastą veiklą, pavyzdžiui, nepažįstamas administratorių paskyras, netikėtus failų pakeitimus, neįprastas PHP klaidas ar siunčiamas užklausas.
- Užsiprenumeruokite prieglobos ir PHP saugumo pranešimus, kad saugumo sprendimai būtų grindžiami oficialiu saugumo pranešimu ir leidimo informacija, o ne gandais.
Taip pat svarbu nepersistengti reaguojant į antraštes. Ar konkretus tinklas yra paveiktas, priklauso nuo jo PHP versijos, serverio konfigūracijos ir oficialiame saugumo pranešime aprašyto pažeidžiamo kodo kelio. Tinkamas požiūris yra skubus patikrinimas ir pataisų diegimas, o ne spėlionės.
Valdomas pataisų diegimas yra paslaugos dalis
Žmonėms, kuriantiems svetainių kaip paslaugos verslą, patikimumas ir saugumas yra parduodamo produkto dalis. Klientai tikisi, kad jų svetainės išliks prieinamos, o platformos komanda užkulisiuose pasirūpins infrastruktūros lygmens priežiūra. Kelių svetainių prieglobos paslaugų teikėjas turėtų aiškiai prisiimti atsakomybę už skubius PHP atnaujinimus, turėti patikrintą diegimo procesą ir būdą patvirtinti, kad pataisa įdiegta.
Tokį standartą taikome „Ultimate Multisite“ priegloboje. PHP2Shell pataisa buvo įdiegta ir pritaikyta visoje mūsų prieglobos paslaugoje per penkias valandas nuo naujo PHP leidimo paskelbimo. Jei norite „WordPress Multisite“ platformos, sukurtos tiek pasikartojantiems procesams, tiek greitam reagavimui į saugumo problemas, susipažinkite su „Ultimate Multisite“ priegloba ir kurkite kitą savo svetainių tinklą užtikrintai.
Parašykite komentarą