Εν ολίγοις: Μια ενημέρωση του WordPress δεν βοηθά απέναντι στην ευπάθεια PHP2Shell της PHP, επειδή το σφάλμα δεν βρίσκεται στο WordPress αλλά στην PHP, το λογισμικό στον διακομιστή που εκτελεί το WordPress. Σύμφωνα με το Dr. Web, το WordPress.org δεν σχεδιάζει γι' αυτό δική του ενημέρωση. Προστατεύει μόνο μια ενημέρωση της PHP στον διακομιστή με επανεκκίνηση όλων των διεργασιών PHP. Αυτήν την εγκαθιστά κατά κανόνα ο πάροχος φιλοξενίας ή ο διαχειριστής του διακομιστή σας.
Η αφορμή: «Μα τα ενημερώσαμε όλα»
Μετά τους πρώτους τίτλους για το PHP2Shell πολλοί διαχειριστές έκαναν το αυτονόητο: άνοιξαν τον πίνακα ελέγχου του WordPress, πάτησαν «Ενημέρωση τώρα», μαζί και plugin και θέματα. Μετά όλα είναι πράσινα και η αίσθηση λέει: τελείωσε.
Σε αυτή την ευπάθεια η αίσθηση απατά. Αυτό δεν οφείλεται στο WordPress, αλλά στο πού βρίσκεται το σφάλμα. Και η Cloudflare επισημαίνει στην ανακοίνωσή της ότι μια ενημέρωση κώδικα εφαρμογής ή plugin δεν διορθώνει τις ευπάθειες.
Ενημέρωση WordPress και ευπάθεια PHP: το μοντέλο των επιπέδων
Ένας ιστότοπος WordPress αποτελείται από πολλά επίπεδα που στηρίζονται το ένα στο άλλο. Κάθε επίπεδο έχει δικές του ενημερώσεις και συχνά δικούς του υπεύθυνους:
| Επίπεδο | Παράδειγμα | Ποιος ενημερώνει τυπικά | Επηρεάζεται από το PHP2Shell; |
|---|---|---|---|
| Λειτουργικό σύστημα | Debian, Ubuntu, AlmaLinux | πάροχος φιλοξενίας ή διαχειριστής διακομιστή | όχι, αλλά συχνά παρέχει το πακέτο PHP |
| Διακομιστής ιστού | Apache, Nginx, LiteSpeed | πάροχος φιλοξενίας ή διαχειριστής διακομιστή | ο τρόπος λειτουργίας επηρεάζει τον κίνδυνο |
| Περιβάλλον εκτέλεσης PHP | PHP-FPM, mod_php | πάροχος φιλοξενίας ή διαχειριστής διακομιστή | ναι, εδώ βρίσκεται η ευπάθεια |
| Πυρήνας WordPress | WordPress | διαχειριστής ή πρακτορείο | όχι |
| Plugin και θέματα | WooCommerce, page builder | διαχειριστής ή πρακτορείο | όχι |
Το κουμπί ενημέρωσης στον πίνακα ελέγχου φτάνει μόνο στις δύο κάτω γραμμές. Το περιβάλλον εκτέλεσης PHP βρίσκεται από κάτω και είναι αόρατο για το WordPress. Πώς στηρίζονται άλλα συστήματα στην PHP, περιγράφει το άρθρο CMS και e-shop σε PHP.
Γιατί το WordPress δεν μπορεί να κλείσει την ευπάθεια
Θα μπορούσε κανείς να νομίσει ότι το WordPress μπορεί να «προγραμματίσει γύρω από το πρόβλημα». Αυτό δεν λειτουργεί στο PHP2Shell για δύο λόγους.
Πρώτον, και τα δύο σφάλματα βρίσκονται στον τρόπο με τον οποίο η PHP επεξεργάζεται αιτήματα και στη συνέχεια καθαρίζει. Αυτό συμβαίνει ανεξάρτητα από το ποιο πρόγραμμα τρέχει στην PHP. Δεύτερον, η ομάδα της PHP έδειξε για τον Apache με mod_php ένα exploit που ενεργοποιείται προτού εκτελεστεί καν κώδικας εφαρμογής. Το WordPress, τα plugin του και κάθε plugin ασφαλείας δεν προλαβαίνουν τότε καν να παρέμβουν.
Για τον ίδιο λόγο δεν βοηθά ούτε ένα «plugin σκλήρυνσης» που αλλάζει ρυθμίσεις μέσω ini_set(). Το php.net αποτρέπει ρητά να οριστούν προσωρινά μέτρα με αυτόν τον τρόπο.
Και στο Managed WordPress;
Στις προσφορές Managed WordPress ο πάροχος φροντίζει συχνά όχι μόνο τις ενημερώσεις του WordPress, αλλά και τον διακομιστή από κάτω. Για το PHP2Shell αυτό είναι πλεονέκτημα, αλλά όχι αυτοματισμός. Ρωτήστε συγκεκριμένα αν εγκαταστάθηκε η ενημέρωση PHP και αν επανεκκινήθηκαν όλες οι διεργασίες PHP. Η δήλωση «Κρατάμε το WordPress σας ενημερωμένο» δεν απαντά αυτή την ερώτηση.
Πολλοί ιστότοποι, μία εγκατάσταση PHP
Πρακτορεία και επιχειρήσεις με πολλούς ιστότοπους πρέπει να γνωρίζουν μια ιδιαιτερότητα: σε έναν διακομιστή πολλές εγκαταστάσεις WordPress μοιράζονται συχνά την ίδια έκδοση PHP. Αν αυτή δεν έχει patch, επηρεάζονται όλες, ανεξάρτητα από το πόσο καλά συντηρείται κάθε μεμονωμένος ιστότοπος. Αντίστροφα, μια ενημέρωση της PHP προστατεύει όλες τις εγκαταστάσεις μονομιάς, εφόσον στη συνέχεια επανεκκινηθούν όλες οι σχετικές διεργασίες PHP. Όποιος λειτουργεί παράλληλα πολλές εκδόσεις PHP, πρέπει να ενημερώσει καθεμία χωριστά.
Ένας πράσινος πίνακας ελέγχου του WordPress δεν λέει τίποτα για το PHP2Shell. Αποφασιστικό είναι το επίπεδο patch της PHP στον διακομιστή και η επανεκκίνηση όλων των διεργασιών PHP.
Πώς διαβάζετε σωστά την έκδοση PHP στο WordPress
Το WordPress εμφανίζει την έκδοση PHP: στον πίνακα ελέγχου, στα Εργαλεία, Υγεία ιστότοπου, στην ενότητα Πληροφορίες, στο τμήμα Διακομιστής. Αυτή είναι μια καλή πρώτη ένδειξη, αλλά όχι απόδειξη.
Αν εκεί αναγράφεται κλάδος όπως 8.1 ή παλαιότερος, είναι σαφές προειδοποιητικό σήμα, γιατί γι' αυτόν δεν υπάρχουν πλέον επίσημες ενημερώσεις. Αν αναγράφεται 8.2.35, 8.3.36, 8.4.27 ή 8.5.12, έχει εγκατασταθεί η διορθωμένη κατάσταση. Αν αναγράφεται παλαιότερος αριθμός ενός υποστηριζόμενου κλάδου, μπορεί παρ' όλα αυτά να έχει εγκατασταθεί backport. Οι διανομές και οι πάροχοι φιλοξενίας δεν αλλάζουν συχνά τον αριθμό. Σαφήνεια φέρνει μόνο η επιβεβαίωση του παρόχου ή μια ματιά στο changelog του πακέτου. Πώς γίνεται, αναφέρεται στη σελίδα Έλεγχος έκδοσης PHP και επιπέδου patch.
Τι πρέπει να κάνουν αντί γι' αυτό οι διαχειριστές WordPress
- Ρωτήστε τον πάροχο φιλοξενίας ή τον διαχειριστή του διακομιστή: Έχει γίνει patch στην PHP, πότε, και επανεκκινήθηκαν όλες οι διεργασίες PHP; Απάντηση γραπτώς.
- Ελέγξτε τον κλάδο PHP: Αν ο ιστότοπος τρέχει σε 8.1 ή παλαιότερη, σχεδιάστε τη μετάβαση σε υποστηριζόμενο κλάδο. Ποια έκδοση υποστηρίζει η έκδοση WordPress που έχετε, αναφέρεται στις απαιτήσεις συστήματος στο wordpress.org. Την αλλαγή στο μενού πελάτη περιγράφει το άρθρο Αλλαγή έκδοσης PHP στην περιοχή πελατών της φιλοξενίας.
- Ελέγξτε για ίχνη: νέα αρχεία PHP στο
wp-content/uploads, άγνωστοι λογαριασμοί διαχειριστή, ξένες εγγραφές στοmu-plugins. Τα τυπικά κρησφύγετα περιγράφει η σελίδα WordPress και PHP2Shell. - Κρατήστε παρ' όλα αυτά το WordPress ενημερωμένο: Πυρήνας, plugin και θέματα κλείνουν άλλες ευπάθειες. Αυτό παραμένει υποχρέωση, απλώς διαφορετική.
- Διευκρινίστε την αρμοδιότητα: Αν ένα πρακτορείο φροντίζει τον ιστότοπο, καταγράψτε αν είναι αρμόδιο και για την PHP ή μόνο για το WordPress.
Ιδίως το τελευταίο σημείο δημιουργεί συχνά κενά. Το πρακτορείο φροντίζει το WordPress, ο πάροχος φιλοξενίας τον διακομιστή, και ο καθένας νομίζει ότι ο άλλος έχει το PHP2Shell υπόψη.
Πώς βοηθά συγκεκριμένα η PHP SOS;
- Διευκρίνιση των επιπέδων: Εντοπίζουμε ποιος είναι αρμόδιος για κάθε επίπεδο στον ιστότοπο WordPress σας.
- Ενημέρωση της PHP: Σε δικούς σας ή διαχειριζόμενους διακομιστές εγκαθιστούμε την ενημέρωση PHP και επανεκκινούμε όλες τις διεργασίες.
- Έλεγχος του WordPress: Αναζητούμε ίχνη επίθεσης σε αρχεία, βάση δεδομένων και λογαριασμούς.
- Απόδειξη: Λαμβάνετε το επίπεδο patch γραπτώς, και για προώθηση σε πρακτορείο ή πελάτες.
Τη διαδικασία περιγράφει η υπηρεσία patch PHP.
Συμπέρασμα
Η ενημέρωση του WordPress είναι καλή συντήρηση, για το PHP2Shell όμως είναι το λάθος επίπεδο. Η ευπάθεια βρίσκεται έναν όροφο πιο κάτω, στην PHP στον διακομιστή. Όποιος το κατανοεί, θέτει τη σωστή ερώτηση στο σωστό σημείο: έχει γίνει patch στην PHP, επανεκκινήθηκε και τεκμηριώνεται;
Συχνές ερωτήσεις
Κυκλοφορεί το WordPress ενημέρωση ασφαλείας για το PHP2Shell;
Σύμφωνα με το Dr. Web, το WordPress.org δεν σχεδιάζει ενημέρωση για το PHP2Shell, επειδή η ευπάθεια βρίσκεται στον διερμηνέα PHP του διακομιστή. Λύση φέρνει μόνο μια ενημέρωση της PHP από τον πάροχο φιλοξενίας ή τον διαχειριστή του διακομιστή.
Πού βλέπω στο WordPress την έκδοση PHP;
Στον πίνακα ελέγχου, στα Εργαλεία, Υγεία ιστότοπου, στην ενότητα Πληροφορίες, στο τμήμα Διακομιστής. Ο αριθμός που εμφανίζεται δεν λέει όμως με βεβαιότητα αν έχει εγκατασταθεί το patch, επειδή οι πάροχοι φιλοξενίας ενσωματώνουν συχνά διορθώσεις ως backport χωρίς νέο αριθμό έκδοσης.
Προστατεύει ένα plugin ασφαλείας από το PHP2Shell;
Μόνο πολύ περιορισμένα. Ένα plugin τρέχει το ίδιο σε PHP και ενεργοποιείται μόνο όταν έχει φορτωθεί το WordPress. Στον Apache με mod_php επιδείχθηκε, σύμφωνα με την ομάδα της PHP, ένα exploit προτού εκτελεστεί καν κώδικας της εφαρμογής. Εκεί ένα plugin δεν μπορεί να παρέμβει.
Πρέπει παρ' όλα αυτά να ενημερώσω το WordPress;
Ναι. Οι τρέχουσες εκδόσεις του WordPress, των θεμάτων και των plugin κλείνουν άλλες ευπάθειες και είναι μέρος της καλής συντήρησης. Απλώς δεν λύνουν το πρόβλημα PHP2Shell.