PHP2Shell un WordPress Multisite riska modelis
Nesenā PHP2Shell drošības ievainojamība savlaicīgi atgādina, ka WordPress drošība neaprobežojas tikai ar WordPress kodolu, motīviem un spraudņiem. Ja ievainojamība skar PHP izpildlaiku, tā atrodas zem lietojumprogrammu steka, kas darbina katru vietni serverī. Atkarībā no skartās PHP konfigurācijas un izmantošanai nepieciešamajiem nosacījumiem veiksmīgs uzbrukums var ļaut uzbrucējam izpildīt neparedzētas komandas vai kodu servera līmenī.
Atsevišķai WordPress vietnei tas ir nopietni. WordPress Multisite tīklam potenciālais ietekmes mērogs var būt daudz lielāks. Viena PHP vide var nodrošināt klientu vietņu, veikalu, galveno lapu un dalībnieku portālu tīklu. Tāpēc ātra, koordinēta ielāpošana ir būtiska atbildīgas multisite mitināšanas daļa, nevis uzturēšanas uzdevums, ko var atlikt līdz nākamajam ērtajam laikam.
Kāpēc PHP ievainojamībām tīklā ir plašāka ietekme
Multisite ir izstrādāts, lai daudzu tīmekļa vietņu pārvaldību padarītu efektīvu: koplietoti kodola faili, koplietoti spraudņi, koplietoti motīvi un centralizēta tīkla administrēšana samazina atkārtotu darbu. Tā pati koplietotā infrastruktūra nozīmē, ka pamata platformas problēma ir jāuztver kā notikums, kas skar visu tīklu.
Praktiskais jautājums nav vienkārši tas, vai atsevišķas vietnes īpašnieks ir instalējis jaunāko atjauninājumu. Jautājums ir par to, vai mitināšanas platforma ir identificējusi skarto PHP laidienu, piemērojusi piegādātāja labojumu visā attiecīgajā infrastruktūrā un apstiprinājusi, ka atjauninātais izpildlaiks apkalpo klientu vietnes. Kavēšanās var atstāt katru vietni, kas izmanto skarto vidi, pakļautu riskam ilgāk, nekā nepieciešams.
Labi vadītai reakcijai jālīdzsvaro ātrums ar kontroli. Komandām jāpārskata PHP laidiena piezīmes un paziņojums, jāizvieto izlabotā pakotne, izmantojot noteikto izmaiņu procesu, jāpārbauda aktīvā PHP versija, jāuzrauga kļūdu žurnāli un pakalpojumu darbspēja, kā arī jāinformē klienti, ja ir nepieciešama rīcība no viņu puses. Vairumā gadījumu klientiem nevajadzētu būt spiesti individuāli meklēt steidzamu izpildlaika drošības laidienu katrai vietnei.
Kas jādara WordPress Multisite administratoriem
Pat tad, ja mitināšanas pakalpojumu sniedzējs nodrošina PHP atjauninājumu, tīkla administratoriem incidents jāizmanto kā iespēja apstiprināt savu drošības stāvokli:
- Apstipriniet aktīvo PHP versiju pie sava mitināšanas pakalpojumu sniedzēja un pārliecinieties, ka tā ietver piegādātāja PHP2Shell labojumu.
- Atjauniniet WordPress kodolu, tīklā aktīvos spraudņus, motīvus un obligāti lietojamos spraudņus, lai lietojumprogrammu līmeņa riski nepasliktinātu platformas līmeņa problēmu.
- Izmantojiet minimālo nepieciešamo piekļuves tiesību principu mitināšanas, SFTP/SSH, datubāzes un WordPress administratoru kontiem.
- Uzturiet pārbaudītas dublējumkopijas un atkopšanas procedūras gan tīkla failiem, gan datubāzēm.
- Uzraugiet neparastas darbības, piemēram, nepazīstamus administratoru kontus, negaidītas failu izmaiņas, neparastas PHP kļūdas vai izejošus pieprasījumus.
- Abonējiet mitināšanas un PHP drošības paziņojumus, lai drošības lēmumi būtu balstīti uz oficiālo paziņojumu un laidiena informāciju, nevis baumām.
Svarīgi ir arī nepārspīlēti reaģēt uz virsrakstiem. Tas, vai konkrēts tīkls ir ietekmēts, ir atkarīgs no tā PHP versijas, servera konfigurācijas un oficiālajā paziņojumā aprakstītā ievainojamā koda ceļa. Pareizā pieeja ir steidzama pārbaude un ielāpošana, nevis minējumi.
Pārvaldīta ielāpošana ir daļa no pakalpojuma
Cilvēkiem, kuri veido tīmekļa vietņu kā pakalpojuma uzņēmumu, uzticamība un drošība ir daļa no pārdotā produkta. Klienti sagaida, ka viņu vietnes būs pieejamas, kamēr platformas komanda fonā rūpējas par infrastruktūras līmeņa uzturēšanu. Multisite mitināšanas pakalpojumu sniedzējam jābūt skaidrai atbildībai par steidzamiem PHP atjauninājumiem, pārbaudītam izvietošanas procesam un iespējai apstiprināt, ka labojums ir ieviests.
Tas ir standarts, ko mēs piemērojam Ultimate Multisite hosting. PHP2Shell labojums tika izvietots un ieviests visā mūsu mitināšanas pakalpojumā piecu stundu laikā pēc jaunā PHP laidiena publicēšanas. Ja vēlaties WordPress Multisite platformu, kas ir veidota gan atkārtojamiem darbības procesiem, gan ātrai reakcijai uz drošības jautājumiem, iepazīstiet Ultimate Multisite hosting un veidojiet savu nākamo vietņu tīklu ar pārliecību.
Atbildēt