PHP2Shell и модель рисков WordPress Multisite
Недавняя уязвимость безопасности PHP2Shell своевременно напоминает о том, что безопасность WordPress не ограничивается ядром WordPress, темами и плагинами. Когда уязвимость затрагивает среду выполнения PHP, она находится ниже уровня стека приложений, обеспечивающего работу каждого сайта на сервере. В зависимости от затронутой конфигурации PHP и условий, необходимых для эксплуатации, успешная атака может открыть злоумышленнику путь к выполнению непредусмотренных команд или кода на уровне сервера.
Для отдельного сайта WordPress это серьёзная проблема. Для сети WordPress Multisite потенциальный масштаб последствий может быть значительно больше. Одна среда PHP может обслуживать сеть клиентских сайтов, магазинов, лендингов и порталов для участников. Поэтому быстрое скоординированное обновление является основополагающей частью ответственного мультисайтового хостинга, а не задачей обслуживания, которую можно отложить до следующего удобного окна.
Почему уязвимости PHP имеют более широкое влияние в сети
Multisite разработан для эффективного управления множеством сайтов: общие файлы ядра, общие плагины, общие темы и централизованное администрирование сети сокращают объём повторяющейся работы. Та же общая инфраструктура означает, что проблему базовой платформы необходимо рассматривать как событие масштаба всей сети.
Практический вопрос состоит не только в том, установил ли владелец отдельного сайта последнее обновление. Важно, определила ли хостинговая платформа затронутый релиз PHP, применила ли исправление поставщика во всей соответствующей инфраструктуре и подтвердила ли, что обновлённая среда выполнения обслуживает клиентские сайты. Задержки могут дольше, чем необходимо, оставлять уязвимыми все сайты, использующие затронутую среду.
Грамотно организованная реакция также требует соблюдения баланса между скоростью и контролем. Командам следует изучить примечания к выпуску PHP и бюллетень безопасности, развернуть исправленный пакет в рамках установленного процесса внесения изменений, проверить активную версию PHP, отслеживать журналы ошибок и состояние сервисов, а также информировать клиентов, если от них требуется какое-либо действие. В большинстве случаев клиентам не должно приходиться отслеживать срочное обновление безопасности среды выполнения по одному сайту за раз.
Что следует сделать администраторам WordPress Multisite
Даже если обновлением PHP занимается хостинг-провайдер, администраторам сети следует использовать этот инцидент как возможность подтвердить собственный уровень безопасности:
- Подтвердите активную версию PHP у своего хостинг-провайдера и убедитесь, что она включает исправление PHP2Shell от поставщика.
- Поддерживайте в актуальном состоянии ядро WordPress, активные на уровне сети плагины, темы и обязательные к использованию плагины, чтобы риски на уровне приложения не усугубляли проблему на уровне платформы.
- Используйте доступ с минимальными необходимыми привилегиями для учётных записей хостинга, SFTP/SSH, базы данных и администраторов WordPress.
- Поддерживайте протестированные резервные копии и процедуры восстановления как для файлов сети, так и для баз данных.
- Отслеживайте необычную активность, например незнакомые учётные записи администраторов, неожиданные изменения файлов, аномальные ошибки PHP или исходящие запросы.
- Подпишитесь на уведомления хостинга и PHP о безопасности, чтобы решения по безопасности основывались на официальном бюллетене и информации о релизе, а не на слухах.
Также важно не реагировать на заголовки чрезмерно. Затронута ли конкретная сеть, зависит от её версии PHP, конфигурации сервера и уязвимого пути выполнения кода, описанного в официальном бюллетене. Правильный подход — срочная проверка и установка исправлений, а не догадки.
Управляемое обновление — часть сервиса
Для тех, кто строит бизнес по модели «сайт как услуга», надёжность и безопасность являются частью предлагаемого продукта. Клиенты ожидают, что их сайты будут оставаться доступными, пока команда платформы выполняет обслуживание инфраструктуры в фоновом режиме. У мультисайтового хостинг-провайдера должна быть чётко определена ответственность за срочные обновления PHP, отлаженный процесс развертывания и способ проверить, что исправление установлено.
Именно такой стандарт мы применяем в хостинге Ultimate Multisite. Исправление PHP2Shell было развернуто и применено во всём нашем хостинговом сервисе в течение пяти часов после публикации нового релиза PHP. Если вам нужна платформа WordPress Multisite, созданная как для повторяемых операционных процессов, так и для быстрого реагирования на угрозы безопасности, познакомьтесь с хостингом Ultimate Multisite и создавайте свою следующую сеть сайтов с уверенностью.
Добавить комментарий