Fil-qosor: Aġġornament ta' WordPress ma jgħinx kontra l-vulnerabbiltà ta' PHP PHP2Shell, għax l-iżball mhux f'WordPress, imma f'PHP, is-softwer fuq is-server li jesegwixxi WordPress. Skont Dr. Web, WordPress.org għalhekk ma jippjanax aġġornament proprju. Jista' jipproteġi biss aġġornament ta' PHP fuq is-server b'restart tal-proċessi kollha ta' PHP. Dan ġeneralment jinstallah l-hoster jew l-operatur tas-server tagħkom.
L-okkażjoni: “Aħna aġġornajna kollox”
Wara l-ewwel titli dwar PHP2Shell ħafna operaturi għamlu dak li hu ovvju: fetħu d-dashboard ta' WordPress, ikklikkjaw “Aġġorna issa”, flimkien mal-plugins u t-temi. Wara kollox ikun aħdar, u s-sensazzjoni tgħid: lest.
B'din il-vulnerabbiltà s-sensazzjoni tqarraq. Dan mhux minħabba WordPress, imma minħabba fejn jinsab l-iżball. Anke Cloudflare fir-rapport tiegħu jinnota li aġġornament tal-kodiċi tal-applikazzjoni jew tal-plugins ma jirranġax il-vulnerabbiltajiet.
Aġġornament ta' WordPress u vulnerabbiltà ta' PHP: il-mudell tas-saffi
Websajt ta' WordPress hija magħmula minn diversi saffi li jinbnew fuq xulxin. Kull saff għandu aġġornamenti proprji u spiss responsabbli proprji:
| Saff | Eżempju | Min normalment jaġġorna | Affettwat minn PHP2Shell? |
|---|---|---|---|
| Sistema operattiva | Debian, Ubuntu, AlmaLinux | hoster jew amministratur tas-server | le, imma spiss jipprovdi l-pakkett ta' PHP |
| Server tal-web | Apache, Nginx, LiteSpeed | hoster jew amministratur tas-server | il-modalità tat-tħaddim taffettwa r-riskju |
| Runtime ta' PHP | PHP-FPM, mod_php | hoster jew amministratur tas-server | iva, hawnhekk tinsab il-vulnerabbiltà |
| Qalba ta' WordPress | WordPress | operatur jew aġenzija | le |
| Plugins u temi | WooCommerce, page builder | operatur jew aġenzija | le |
Il-buttuna tal-aġġornament fid-dashboard tilħaq biss iż-żewġ linji t'isfel. Ir-runtime ta' PHP jinsab taħt u huwa inviżibbli għal WordPress. Kif sistemi oħra jibnu fuq PHP jiddeskrivih l-artikolu CMS u ħwienet fuq PHP.
Għaliex WordPress ma jistax jagħlaq il-vulnerabbiltà
Wieħed jista' jaħseb li WordPress jista' “jipprogramma madwar”. B'PHP2Shell dan ma jaħdimx għal żewġ raġunijiet.
L-ewwel, iż-żewġ żbalji jinsabu fil-mod kif PHP jipproċessa t-talbiet u wara jnaddaf. Dan iseħħ indipendentement minn liema programm jaħdem f'PHP. It-tieni, it-tim ta' PHP wera għal Apache b'mod_php exploit li jaħdem qabel ma jiġi eżegwit xi kodiċi tal-applikazzjoni. WordPress, il-plugins tiegħu u kull plugin tas-sigurtà mbagħad ma jiġu qatt fis-seħħ.
Għall-istess raġuni ma jgħinx lanqas “plugin ta' tisħiħ” li jibdel l-issettjar permezz ta' ini_set(). php.net jiskoraġġixxi espliċitament li l-miżuri temporanji jiġu ssettjati b'dan il-mod.
U b'WordPress ġestit?
Fl-offerti ta' WordPress ġestit il-fornitur spiss jieħu ħsieb mhux biss l-aġġornamenti ta' WordPress, imma wkoll is-server taħtu. Dan huwa vantaġġ għal PHP2Shell, imma mhux awtomatiżmu. Staqsu b'mod konkret jekk l-aġġornament ta' PHP ġiex installat u l-proċessi kollha ta' PHP tqabbdu mill-ġdid. Id-dikjarazzjoni “Inżommu WordPress tagħkom aġġornat” ma twieġibx din il-mistoqsija.
Ħafna websajts, installazzjoni waħda ta' PHP
Aġenziji u negozji b'diversi websajts għandhom jafu partikolarità: Fuq server spiss ħafna installazzjonijiet ta' WordPress jaqsmu l-istess verżjoni ta' PHP. Jekk din ma tkunx ippatchjata, kollha huma affettwati, irrispettivament minn kemm hija mgħożża kull websajt individwali. B'mod opposti, aġġornament ta' PHP jipproteġi l-installazzjonijiet kollha f'daqqa, sakemm wara jerġgħu jinbdew il-proċessi kollha relatati ta' PHP. Min iħaddem diversi verżjonijiet ta' PHP parallelament irid jaġġorna kull waħda individwalment.
Dashboard aħdar ta' WordPress ma jgħid xejn dwar PHP2Shell. Id-deċiżiv huwa l-istat tal-patch ta' PHP fuq is-server u r-restart tal-proċessi kollha ta' PHP.
Kif taqraw sew il-verżjoni ta' PHP f'WordPress
WordPress juri l-verżjoni ta' PHP: fid-dashboard taħt Għodda (Tools), Saħħa tas-Sit (Site Health), fil-qasam Rapport fit-taqsima Server. Din hija indikazzjoni tajba l-ewwel, imma mhux prova.
Jekk hemm fergħa bħal 8.1 jew eqdem, dan huwa sinjal ċar ta' twissija, għax għal dawn ma hemm l-ebda aġġornament uffiċjali. Jekk hemm 8.2.35, 8.3.36, 8.4.27 jew 8.5.12, l-istat irranġat huwa installat. Jekk hemm numru eqdem ta' fergħa appoġġata, xorta jista' jkun installat backport. Id-distribuzzjonijiet u l-hosters spiss ma jbiddlux in-numru. Ċarezza toffri biss il-konferma tal-hoster jew ħarsa lejn il-changelog tal-pakkett. Kif isir jinsab taħt Iċċekkjar tal-verżjoni ta' PHP u tal-istat tal-patch.
X'għandhom jagħmlu minflok l-operaturi ta' WordPress
- Staqsu lill-hoster jew lill-operatur tas-server: PHP huwa ppatchjat, meta, u l-proċessi kollha ta' PHP tqabbdu mill-ġdid? Tweġiba bil-miktub.
- Ivverifikaw il-fergħa ta' PHP: Jekk il-websajt taħdem fuq 8.1 jew eqdem, ippjanaw il-bidla għal fergħa appoġġata. Liema verżjoni tappoġġja l-verżjoni ta' WordPress tagħkom jinsab fir-rekwiżiti tas-sistema fuq wordpress.org. Il-bidla fil-menu tal-klijenti tiddeskrivihha Bidla tal-verżjoni ta' PHP fiż-żona tal-klijenti tal-hosting.
- Ivverifikaw għal traċċi: fajls ġodda ta' PHP f'
wp-content/uploads, kontijiet tal-amministratur mhux magħrufa, entrati barranin f'mu-plugins. L-aktar postijiet tipiċi fejn jinħbew jiddeskrivihom il-paġna WordPress u PHP2Shell. - Żommu WordPress aġġornat xorta waħda: Il-qalba, il-plugins u t-temi jagħlqu vulnerabbiltajiet oħra. Dan jibqa' obbligu, biss wieħed ieħor.
- Iċċaraw ir-responsabbiltà: Jekk aġenzija tieħu ħsieb il-websajt, ikkonfermaw jekk hijiex responsabbli wkoll għal PHP jew biss għal WordPress.
Eżattament l-aħħar punt spiss joħloq lakuni. L-aġenzija żżomm WordPress, l-hoster is-server, u kull wieħed jaħseb li l-ieħor għandu PHP2Shell f'għajnejh.
Kif tgħin PHP SOS b'mod konkret?
- Niċċaraw is-saffi: Niddeterminaw min huwa responsabbli għal liema saff tal-websajt ta' WordPress tagħkom.
- Naġġornaw PHP: Fuq servers proprji jew ġestiti ninstallaw l-aġġornament ta' PHP u nerġgħu nibdew il-proċessi kollha.
- Nivverifikaw WordPress: Infittxu traċċi ta' attakk fil-fajls, fid-database u fil-kontijiet.
- Prova: Tirċievu l-istat tal-patch bil-miktub, anke biex tgħadduh lill-aġenzija jew lill-klijenti.
Il-proċess jiddeskrivih il-Patch Service ta' PHP.
Konklużjoni
L-aġġornament ta' WordPress huwa manutenzjoni tajba, imma kontra PHP2Shell huwa s-saff ħażin. Il-vulnerabbiltà tinsab sular aktar t'isfel, f'PHP fuq is-server. Min jifhem dan jistaqsi l-mistoqsija t-tajba lill-post it-tajjeb: PHP huwa ppatchjat, imqabbad mill-ġdid u ppruvat?
Mistoqsijiet frekwenti
WordPress joħroġ aġġornament tas-sigurtà kontra PHP2Shell?
Skont Dr. Web, WordPress.org ma jippjanax aġġornament kontra PHP2Shell, għax il-vulnerabbiltà tinsab fl-interpretatur ta' PHP fuq is-server. Rimedju jagħti biss aġġornament ta' PHP mill-hoster jew mill-operatur tas-server.
Fejn nara l-verżjoni ta' PHP f'WordPress?
Fid-dashboard taħt Għodda (Tools), Saħħa tas-Sit (Site Health), fil-qasam Rapport fit-taqsima Server. In-numru murija, madankollu, ma jgħidx b'ċertezza jekk il-patch ġiex installat, għax il-hosters spiss jinkorporaw korrezzjonijiet bħala backport mingħajr numru ġdid tal-verżjoni.
Plugin tas-sigurtà jipproteġi minn PHP2Shell?
Biss b'mod limitat ħafna. Plugin jaħdem innifsu f'PHP u jsir attiv biss meta WordPress ikun tgħabba. B'Apache b'mod_php intwera, skont it-tim ta' PHP, exploit qabel ma jaħdem xi kodiċi tal-applikazzjoni. Hemmhekk plugin ma jistax jintervjeni.
Għandi xorta waħda naġġorna WordPress?
Iva. Verżjonijiet attwali ta' WordPress, temi u plugins jagħlqu vulnerabbiltajiet oħra u huma parti minn manutenzjoni tajba. Biss ma jsolvux il-problema ta' PHP2Shell.