PHP2Shell in model tveganja WordPress Multisite
Nedavna varnostna ranljivost PHP2Shell je pravočasen opomnik, da varnost WordPressa ni omejena na jedro WordPressa, teme in vtičnike. Kadar ranljivost vpliva na izvajalno okolje PHP, se nahaja pod aplikacijskim skladom, ki poganja vsako spletno mesto na strežniku. Odvisno od prizadete konfiguracije PHP in pogojev, potrebnih za izkoriščanje, bi lahko uspešen napad napadalcu omogočil izvajanje nenamernih ukazov ali kode na ravni strežnika.
Za samostojno spletno mesto WordPress je to resno. Za omrežje WordPress Multisite je lahko morebitni obseg posledic veliko večji. Eno samo okolje PHP lahko podpira omrežje spletnih mest strank, trgovin, pristajalnih strani in članskih portalov. Zato je hitro in usklajeno nameščanje popravkov temeljni del odgovornega gostovanja multisite, ne pa vzdrževalna naloga, ki lahko počaka do naslednjega primernega termina.
Zakaj imajo ranljivosti PHP širši vpliv v omrežju
Multisite je zasnovan za učinkovito upravljanje številnih spletnih mest: skupne osnovne datoteke, skupni vtičniki, skupne teme in osrednje upravljanje omrežja zmanjšujejo ponavljajoče se delo. Ta ista skupna infrastruktura pomeni, da je treba težavo z osnovno platformo obravnavati kot dogodek, ki vpliva na celotno omrežje.
Praktično vprašanje ni zgolj, ali je posamezni lastnik spletnega mesta namestil najnovejšo posodobitev. Gre za to, ali je gostovalna platforma prepoznala prizadeto izdajo PHP, uporabila popravek ponudnika v ustrezni infrastrukturi in potrdila, da posodobljeno izvajalno okolje PHP oskrbuje spletna mesta strank. Zamude lahko po nepotrebnem dlje časa izpostavljajo vsako spletno mesto, ki uporablja prizadeto okolje.
Dobro voden odziv mora prav tako uravnotežiti hitrost in nadzor. Ekipe naj pregledajo opombe ob izdaji PHP in varnostno obvestilo, uvedejo popravljeni paket prek uveljavljenega postopka sprememb, preverijo aktivno različico PHP, spremljajo dnevnike napak in stanje storitev ter obveščajo stranke, če je z njihove strani potrebno ukrepanje. V večini primerov strankam ne bi smelo biti treba nujno varnostno izdajo izvajalnega okolja urejati za vsako spletno mesto posebej.
Kaj naj storijo skrbniki WordPress Multisite
Tudi kadar za posodobitev PHP poskrbi gostovanje, naj skrbniki omrežja incident izkoristijo kot priložnost za potrditev lastnega varnostnega položaja:
- Potrdite aktivno različico PHP pri svojem ponudniku gostovanja in zagotovite, da vključuje ponudnikov popravek za PHP2Shell.
- Posodabljajte jedro WordPressa, v omrežju aktivne vtičnike, teme in obvezne vtičnike, da se tveganja na ravni aplikacije ne pridružijo težavi na ravni platforme.
- Uporabljajte dostop z najmanjšimi privilegiji za račune gostovanja, SFTP/SSH, zbirke podatkov in skrbniške račune WordPressa.
- Vzdržujte preizkušene varnostne kopije in postopke obnovitve za datoteke omrežja in zbirke podatkov.
- Spremljajte nenavadno dejavnost, kot so neznani skrbniški računi, nepričakovane spremembe datotek, neobičajne napake PHP ali odhodne zahteve.
- Naročite se na varnostna obvestila gostovanja in PHP, da varnostne odločitve temeljijo na uradnem varnostnem obvestilu in informacijah o izdaji, ne pa na govoricah.
Pomembno je tudi, da se ne odzivate pretirano na naslove novic. Ali je določeno omrežje prizadeto, je odvisno od njegove različice PHP, konfiguracije strežnika in ranljive poti kode, opisane v uradnem varnostnem obvestilu. Pravilen pristop sta nujno preverjanje in nameščanje popravkov, ne ugibanje.
Upravljano nameščanje popravkov je del storitve
Za ljudi, ki gradijo podjetje s spletnimi mesti kot storitvijo, sta zanesljivost in varnost del izdelka, ki ga prodajate. Stranke pričakujejo, da bodo njihova spletna mesta ostala dostopna, medtem ko ekipa platforme v ozadju skrbi za vzdrževanje na ravni infrastrukture. Ponudnik multisite gostovanja mora imeti jasno odgovornost za nujne posodobitve PHP, preizkušen postopek uvajanja in način preverjanja, da je popravek nameščen.
To je standard, ki ga uporabljamo pri gostovanju Ultimate Multisite. Popravek PHP2Shell je bil uveden in nameščen v naši gostovalni storitvi v petih urah po objavi nove izdaje PHP. Če želite platformo WordPress Multisite, zgrajeno za ponovljive postopke in hiter varnostni odziv, raziščite gostovanje Ultimate Multisite ter z zaupanjem zgradite svoje naslednje omrežje spletnih mest.
Dodaj odgovor