PHP2Shell a model rizík WordPress Multisite
Nedávna bezpečnostná zraniteľnosť PHP2Shell je včasnou pripomienkou, že bezpečnosť WordPressu sa neobmedzuje na jadro WordPressu, témy a pluginy. Keď zraniteľnosť ovplyvní prostredie PHP, nachádza sa pod aplikačným zásobníkom, ktorý poháňa každú stránku na serveri. V závislosti od dotknutej konfigurácie PHP a podmienok potrebných na zneužitie by úspešný útok mohol útočníkovi umožniť spúšťať nezamýšľané príkazy alebo kód na úrovni servera.
Pre samostatnú stránku WordPress je to vážne. Pre sieť WordPress Multisite môže byť potenciálny rozsah škôd oveľa väčší. Jedno prostredie PHP môže podporovať sieť zákazníckych stránok, obchodov, vstupných stránok a členských portálov. Preto je rýchle a koordinované aplikovanie opráv základnou súčasťou zodpovedného multisite hostingu – nie údržbovou úlohou, ktorá môže počkať na najbližšie vhodné okno.
Prečo majú zraniteľnosti PHP v sieti širší dopad
Multisite je navrhnutý tak, aby bolo spravovanie mnohých webových stránok efektívne: zdieľané súbory jadra, zdieľané pluginy, zdieľané témy a centrálna správa siete znižujú opakovanú prácu. Tá istá zdieľaná infraštruktúra znamená, že problém v základnej platforme sa musí považovať za udalosť týkajúcu sa celej siete.
Praktická otázka nespočíva iba v tom, či vlastník konkrétnej stránky nainštaloval najnovšiu aktualizáciu. Ide o to, či hostingová platforma identifikovala dotknuté vydanie PHP, aplikovala opravu dodávateľa v príslušnej infraštruktúre a potvrdila, že aktualizované prostredie poskytuje služby zákazníckym stránkam. Oneskorenia môžu ponechať všetky stránky používajúce dotknuté prostredie vystavené riziku dlhšie, než je potrebné.
Dobre riadená reakcia musí tiež vyvažovať rýchlosť a kontrolu. Tímy by mali preskúmať poznámky k vydaniu PHP a bezpečnostné upozornenie, nasadiť opravený balík prostredníctvom zavedeného procesu zmien, overiť aktívnu verziu PHP, monitorovať chybové protokoly a stav služieb a informovať zákazníkov, ak sa vyžaduje akcia z ich strany. Vo väčšine prípadov by zákazníci nemali musieť riešiť urgentné bezpečnostné vydanie prostredia pre každú stránku zvlášť.
Čo by mali správcovia WordPress Multisite urobiť
Aj keď sa hosting postará o aktualizáciu PHP, správcovia siete by mali incident využiť ako príležitosť na potvrdenie vlastného bezpečnostného postoja:
- Potvrďte aktívnu verziu PHP u svojho hostiteľa a uistite sa, že zahŕňa opravu PHP2Shell od dodávateľa.
- Udržiavajte jadro WordPressu, pluginy aktívne v sieti, témy a povinné pluginy aktualizované, aby sa riziká na úrovni aplikácie nekumulovali s problémom na úrovni platformy.
- Používajte prístup s najnižšími oprávneniami pre účty hostingu, SFTP/SSH, databázy a správcovské účty WordPressu.
- Udržiavajte otestované zálohy a postupy obnovy pre súbory siete aj databázy.
- Monitorujte nezvyčajnú aktivitu, napríklad neznáme správcovské účty, neočakávané zmeny súborov, abnormálne chyby PHP alebo odchádzajúce požiadavky.
- Prihláste sa na odber bezpečnostných upozornení hostingu a PHP, aby bezpečnostné rozhodnutia vychádzali z oficiálnych upozornení a informácií o vydaniach, nie z klebiet.
Je tiež dôležité nepreháňať reakciu na titulky v médiách. To, či je konkrétna sieť ovplyvnená, závisí od jej verzie PHP, konfigurácie servera a zraniteľnej cesty kódu opísanej v oficiálnom upozornení. Správnym prístupom je urgentné overenie a aplikovanie opráv – nie dohady.
Spravované aplikovanie opráv je súčasťou služby
Pre ľudí, ktorí budujú podnikanie typu webová stránka ako služba, sú spoľahlivosť a bezpečnosť súčasťou produktu, ktorý predávate. Zákazníci očakávajú, že ich stránky zostanú dostupné, zatiaľ čo tím platformy sa v zákulisí stará o údržbu na úrovni infraštruktúry. Hostiteľ multisite by mal mať jasne stanovenú zodpovednosť za urgentné aktualizácie PHP, overený proces nasadenia a spôsob, ako potvrdiť, že oprava je zavedená.
To je štandard, ktorý uplatňujeme v hostingu Ultimate Multisite. Oprava PHP2Shell bola nasadená a aplikovaná v celej našej hostingovej službe do piatich hodín od zverejnenia nového vydania PHP. Ak chcete platformu WordPress Multisite vytvorenú pre opakovateľné prevádzkové postupy aj rýchlu bezpečnostnú reakciu, preskúmajte hosting Ultimate Multisite a vybudujte svoju ďalšiu sieť stránok s istotou.
Pridaj komentár