Október 21-én a PHP fejlesztői kritikus biztonsági javítást adtak ki két hibára. Ezeken keresztül egy támadó távolról kódot futtathat a szerveren. A hibák súlyossága CVSS 9,2 a tízes skálán, vagyis a legveszélyesebb kategóriába tartoznak.
Minden webes PHP-telepítés érintett, így gyakorlatilag minden WordPress- és WooCommerce-oldal is. Ha a héten csak egy dolgot csinálsz a weboldaladdal, ez legyen az: nézd meg, hogy a szervered már a javított PHP-verziót futtatja-e.
Miért ennyire sürgős?
A távoli kódfuttatás azt jelenti, hogy a támadónak nem kell belépnie az oldaladra ahhoz, hogy saját kódot futtasson rajta. Így átveheti az oldalt, kártékony kódot helyezhet el rajta, vagy hozzáférhet a vásárlók és az űrlapok adataihoz. Amint egy javítás nyilvános, a támadók is látják, hol volt a hiba. Ezért a megjelenés utáni napokban a legnagyobb a kockázat.
Ellenőrzőlista: így nézd meg 2 perc alatt
Nem kell hozzá fejlesztő, a WordPress admin felületén minden látszik:
- Nézd meg a verziót: WordPress admin → Eszközök → Webhely egészsége → Információ fül → Szerver szekció. Itt látod a PHP-verziót.
- Hasonlítsd össze a javított verziókkal: 8.2.35, 8.3.36, 8.4.27 és 8.5.12. Ha a te verziód ugyanazon az ágon ennél régebbi (például 8.3.30), akkor még nincs javítva.
- Ellenőrizd, hogy támogatott-e az ágad: a PHP 8.1 és a régebbi verziók már nem kapnak frissítést, ezeknél a hiba javítatlan marad. A 8.2 támogatása december 31-én lejár, ezért ha ezen vagy, érdemes most betervezni a váltást 8.3-ra vagy 8.4-re.
Ki frissíti a PHP-t?
A PHP nem a WordPress része, hanem a szerveren fut, ezért a javított verziót a legtöbb esetben a tárhelyszolgáltató telepíti. Ezt te nem tudod a WordPress felületéről elindítani. Ha a verziód még régi, írj a szolgáltatód ügyfélszolgálatának, és kérdezd meg, mikor várható a frissítés.
Ha nagyobb verzióváltásra van szükség (például 8.1-ről 8.3-ra), azt sok tárhelyen te választhatod ki a tárhely kezelőfelületén. Előtte viszont készíts biztonsági mentést, és nézd meg, hogy a sablonod és a bővítményeid támogatják-e az új verziót. Egy régi bővítmény az új PHP-n hibát okozhat, akár az egész oldal leállását is.
Mit csináltunk mi a Netomate-nél?
A javítás megjelenése óta folyamatosan monitoroztuk az általunk kezelt weboldalaknál, hogy a tárhelyszolgáltató mikor végzi el a frissítést. Így oldalanként pontosan tudjuk, mikor került fel a javított PHP-verzió.
Karbantartási ügyfeleinknek ezért nem kellett a verziószámokat figyelniük vagy a szolgáltatóval levelezniük. Ez a mi dolgunk, ők pedig közben a vállalkozásukkal foglalkozhattak.
Ezért éri meg a karbantartási csomag
Ilyen hír évente többször jön: hol a PHP-ben, hol a WordPressben, hol egy népszerű bővítményben. Egy oldal biztonsága nem egyszeri feladat, hanem folyamatos figyelem. A weboldal karbantartási csomagunkban többek között ezeket végezzük:
- a PHP-, WordPress- és bővítményfrissítések figyelése és elvégzése,
- rendszeres biztonsági mentés, hogy baj esetén gyorsan vissza lehessen állni,
- a frissítések utáni ellenőrzés, hogy az oldal és a webshop rendben működik-e.
Ha nem vagy biztos benne, hogy a te oldalad a javított verziót futtatja, vagy nem szeretnél legközelebb ilyen hírek miatt aggódni, keress minket. Részletesebben a rendszeres feladatokról a WordPress biztonságról és karbantartásról szóló cikkünkben írtunk.
