PHP2Shell i model rizika za WordPress Multisite
Nedavna bezbednosna ranjivost PHP2Shell pravovremeni je podsetnik da bezbednost WordPressa nije ograničena na WordPress jezgro, teme i dodatke. Kada ranjivost utiče na PHP okruženje za izvršavanje, ona se nalazi ispod sloja aplikacija koji pokreće svaki sajt na serveru. U zavisnosti od pogođene PHP konfiguracije i uslova potrebnih za iskorišćavanje, uspešan napad bi napadaču mogao da omogući pokretanje neželjenih komandi ili koda na nivou servera.
Za samostalni WordPress sajt to je ozbiljno. Za WordPress Multisite mrežu, potencijalni obim štete može biti znatno veći. Jedno PHP okruženje može podržavati mrežu korisničkih sajtova, prodavnica, odredišnih stranica i portala za članove. Zato su brzo, koordinisano ažuriranje zakrpa osnovni deo odgovornog multisite hostinga, a ne zadatak održavanja koji može da čeka sledeći pogodan termin.
Zašto PHP ranjivosti imaju širi uticaj u mreži
Multisite je osmišljen da upravljanje mnogim sajtovima učini efikasnim: deljene datoteke jezgra, deljeni dodaci, deljene teme i centralna administracija mreže smanjuju ponavljajući posao. Ista deljena infrastruktura znači da se problem na osnovnoj platformi mora tretirati kao događaj koji utiče na celu mrežu.
Praktično pitanje nije samo da li je vlasnik pojedinačnog sajta instalirao najnovije ažuriranje. Pitanje je da li je hosting platforma identifikovala pogođenu verziju PHP-a, primenila zakrpu dobavljača na relevantnoj infrastrukturi i potvrdila da ažurirano okruženje za izvršavanje opslužuje korisničke sajtove. Kašnjenja mogu ostaviti svaki sajt koji koristi pogođeno okruženje izloženim duže nego što je potrebno.
Dobro vođen odgovor takođe mora uravnotežiti brzinu i kontrolu. Timovi treba da pregledaju beleške o izdanju PHP-a i bezbednosno obaveštenje, uvedu ispravljeni paket kroz svoj utvrđeni proces izmena, provere aktivnu verziju PHP-a, prate dnevnike grešaka i stanje usluge, te obaveštavaju korisnike ako je potrebna radnja s njihove strane. U većini slučajeva korisnici ne bi trebalo da moraju da rešavaju hitno bezbednosno izdanje okruženja za izvršavanje, jedan po jedan sajt.
Šta administratori WordPress Multisite mreža treba da urade
Čak i kada hosting preuzima ažuriranje PHP-a, administratori mreže treba da iskoriste incident kao priliku da potvrde sopstveni bezbednosni položaj:
- Potvrdite aktivnu verziju PHP-a sa svojim hosting provajderom i uverite se da uključuje PHP2Shell zakrpu dobavljača.
- Redovno ažurirajte WordPress jezgro, dodatke aktivne na mreži, teme i must-use dodatke kako se rizici na nivou aplikacije ne bi nadovezali na problem na nivou platforme.
- Koristite pristup sa najmanjim potrebnim privilegijama za hosting, SFTP/SSH, bazu podataka i WordPress administratorske naloge.
- Održavajte testirane rezervne kopije i procedure oporavka za datoteke mreže i baze podataka.
- Pratite neuobičajene aktivnosti kao što su nepoznati administratorski nalozi, neočekivane izmene datoteka, neuobičajene PHP greške ili odlazni zahtevi.
- Pretplatite se na bezbednosna obaveštenja hostinga i PHP-a kako bi bezbednosne odluke bile zasnovane na zvaničnom obaveštenju i informacijama o izdanju, a ne na glasinama.
Takođe je važno izbegavati preterane reakcije na naslove. Da li je određena mreža pogođena zavisi od njene PHP verzije, konfiguracije servera i ranjive putanje koda opisane u zvaničnom obaveštenju. Ispravan pristup je hitna provera i primena zakrpe, a ne nagađanje.
Upravljano ažuriranje zakrpa deo je usluge
Za ljude koji grade poslovanje zasnovano na veb-sajtu kao usluzi, pouzdanost i bezbednost su deo proizvoda koji prodajete. Korisnici očekuju da njihovi sajtovi ostanu dostupni dok tim platforme u pozadini obavlja održavanje na nivou infrastrukture. Multisite hosting provajder treba da ima jasno vlasništvo nad hitnim PHP ažuriranjima, proveren proces uvođenja i način da potvrdi da je ispravka primenjena.
To je standard koji primenjujemo u okviru Ultimate Multisite hostinga. PHP2Shell zakrpa je uvedena na naš hosting servis u roku od pet sati od objavljivanja novog PHP izdanja. Ako želite WordPress Multisite platformu izgrađenu za ponovljive operacije, kao i brz odgovor na bezbednosne probleme, istražite Ultimate Multisite hosting i sa sigurnošću izgradite svoju sledeću mrežu sajtova.
Оставите одговор