PHP2Shell и моделот на ризик кај WordPress Multisite
Неодамнешната безбедносна ранливост PHP2Shell е навремено потсетување дека безбедноста на WordPress не е ограничена на јадрото, темите и приклучоците на WordPress. Кога ранливоста влијае на PHP-окружувањето, таа се наоѓа под апликацискиот стек што ја напојува секоја веб-страница на серверот. Во зависност од засегнатата PHP-конфигурација и условите потребни за искористување, успешен напад би можел да му овозможи на напаѓачот начин да извршува ненамерни команди или код на ниво на сервер.
За самостојна WordPress-страница, тоа е сериозно. За WordPress Multisite мрежа, потенцијалниот опфат на штетата може да биде многу поголем. Една PHP-средина може да поддржува мрежа од веб-страници на клиенти, продавници, целни страници и портали за членство. Затоа брзото, координирано инсталирање закрпи е основен дел од одговорното multisite-хостирање — а не задача за одржување што може да чека до следниот погоден термин.
Зошто PHP-ранливостите имаат пошироко влијание во мрежа
Multisite е создаден за да го направи ефикасно управувањето со многу веб-страници: споделените основни датотеки, споделените приклучоци, споделените теми и централната мрежна администрација ја намалуваат повторливата работа. Истата споделена инфраструктура значи дека проблемот со основната платформа мора да се третира како настан на ниво на целата мрежа.
Практичното прашање не е само дали сопственикот на поединечна веб-страница ја има инсталирано најновата надградба. Прашањето е дали хостинг-платформата ја идентификувала засегнатата PHP-верзија, ја применила поправката од добавувачот во релевантната инфраструктура и потврдила дека ажурираното извршно опкружување ги опслужува веб-страниците на клиентите. Одложувањата може да ја остават секоја веб-страница што користи засегната средина изложена подолго отколку што е потребно.
Добро спроведениот одговор треба да ја балансира брзината со контролата. Тимовите треба да ги прегледаат белешките за изданието на PHP и безбедносното известување, да го распоредат поправениот пакет преку воспоставениот процес за промени, да ја потврдат активната PHP-верзија, да ги следат евиденциите за грешки и состојбата на услугата и да ги информираат клиентите доколку е потребно дејство од нивна страна. Во повеќето случаи, клиентите не треба да мораат да бркаат итно безбедносно издание на извршното опкружување, веб-страница по веб-страница.
Што треба да направат администраторите на WordPress Multisite
Дури и кога хостингот се грижи за PHP-ажурирањето, мрежните администратори треба да го искористат инцидентот како можност да ја потврдат сопствената безбедносна поставеност:
- Потврдете ја активната PHP-верзија кај вашиот хостинг-провајдер и осигурете се дека ја вклучува PHP2Shell-поправката од добавувачот.
- Одржувајте ги ажурирани јадрото на WordPress, приклучоците активни на ниво на мрежа, темите и задолжителните приклучоци за ризиците на ниво на апликација да не се надоврзат на проблем на ниво на платформа.
- Користете пристап со најмали привилегии за сметките за хостинг, SFTP/SSH, база на податоци и WordPress-администратор.
- Одржувајте тестирани резервни копии и процедури за обновување и за мрежните датотеки и за базите на податоци.
- Следете невообичаена активност како што се непознати администраторски сметки, неочекувани промени во датотеки, невообичаени PHP-грешки или појдовни барања.
- Претплатете се на безбедносните известувања од хостингот и PHP за безбедносните одлуки да се засноваат на официјалното известување и информациите за изданието, наместо на гласини.
Исто така е важно да се избегне претерана реакција на насловите. Дали одредена мрежа е засегната зависи од нејзината PHP-верзија, конфигурацијата на серверот и ранливата патека на кодот опишана во официјалното известување. Правилниот пристап е итна проверка и инсталирање закрпи — не нагаѓање.
Управуваното инсталирање закрпи е дел од услугата
За луѓето кои градат бизнис со веб-страници како услуга, доверливоста и безбедноста се дел од производот што го продавате. Клиентите очекуваат нивните веб-страници да останат достапни додека тимот за платформата го извршува одржувањето на ниво на инфраструктура во заднина. Multisite-хостингот треба да има јасна одговорност за итните PHP-ажурирања, докажан процес на распоредување и начин да потврди дека поправката е поставена.
Тоа е стандардот што го применуваме во Ultimate Multisite hosting. PHP2Shell-поправката беше распоредена и применета во нашата хостинг-услуга во рок од пет часа од објавувањето на новото PHP-издание. Ако сакате WordPress Multisite платформа изградена за повторливи операции, како и за брз безбедносен одговор, истражете го Ultimate Multisite hosting и изградете ја вашата следна мрежа на веб-страници со доверба.
Напишете коментар