Perbaikan Darurat HestiaCP pikeun Kerentanan PHP2Shell Beresiko Tinggi (CVSS 9.2): Panduan Pamariksaan Kaamanan Server sareng Peningkatan

Kira-kira jam 1 subuh, telepon sélulér kuring ngageter di gigireun bantal.

Eta lain jam alarm, eta beja server.

Kuring ngaguling, meureumkeun panon, terus ngaklik éta; jantung kuring ujug-ujug ratug.

Abdi nyandak laptop, nyambung ka server, teras ningali-ningali log aksés nginx sakedap.

Kahadean.

Runtuyan jalur pamundut éta saluyu sampurna; sadayana nuju nyeken jalur eksploitasi PHP2Shell.

Pihak anu sanésna mah teu nyobian kecap akses akun éta; éta téh hasil scan murni, polos, sareng industrial.

Siga maling nu keur nguji unggal konci panto, terus ninggalkeun catetan dina panto nu unina, "Kuring rek balik deui peuting ieu."

Kuring ujug-ujug diuk, tanpa kudu make baju heula.

Dina waktu éta, ngan hiji pikiran anu ngeusian pikiran kuring.

Ulah sare peuting ieu.

Kuring ngalakukeun tilu hal peuting éta.

Pariksa log pikeun mastikeun iraha scan ieu dimimitian.

Pariksa nomer vérsi pikeun ningali naha anjeun aya dina daptar anu kapangaruhan.

Pariksa cadangan pikeun mastikeun yén snapshot éta anyar, supados anjeun tiasa ngabalikeun deui upami aya anu lepat.

Saatos kuring réngsé ngalakukeun sadayana éta, di luar jandela masih poék, sareng lingkungan éta sepi pisan dugi ka kuring tiasa ngadangu kulkas hurung.

Kuring diuk di hareupeun monitor bari dibungkus ku simbut, ngarasa siga nu jaga peuting.

Anu keur dijaga ku kuring téh lain batur, tapi bom waktu anu kuring pasangkeun ka diri sorangan mangtaun-taun ka tukang nalika keur males.

Kira-kira jam 3 énjing, kuring mariksa vérsi PHP dina unggal situs wéb.

8.5.11.

8.5.11.

Ieu masih 8.5.11.

Aranjeunna sadayana aya dina daptar anu kapangaruhan; teu aya hiji ogé anu lolos.

Rarasaan éta téh kawas peuting méméh ujian kakara sadar yén anjeun salah milih mata pelajaran.

Kira-kira naon anu kajantenan salajengna?

Saatos nambal sareng mastikeun vérsi na, kuring calik di rohangan anu poék mongkleng, ujug-ujug ngaraos rada lieur.

Lain kusabab kuring sieun sanggeusna.

Éta kusabab kuring sadar yén sanajan parantos ngurus server salami mangtaun-taun, kuring masih kénéh tiasa panik nalika alarm tengah peuting disada.

Kitu carana ieu karya téh muncul.

Jujur, kuring sok ngarasa lepat nyerat artikel anu aya aspék tutorialna.

Abdi sanés ahli kaamanan; abdi ngan ukur pamekar biasa anu nyetél sareng ngajaga server abdi nyalira.

Anu tiasa kuring tawarkeun nyaéta masalah-masalah anu saleresna kuring pendak sareng sakumpulan latihan anu tiasa kuring laksanakeun wengi ayeuna.

Najan teu dewasa, tapi asli.

Upami anjeun gaduh solusi anu langkung elegan, tangtosna urang bakal nganggo solusi anjeun. Pamarekan anu kuring carioskeun ieu saderhana, tapi efektif.

Terus terang, sadaya operasi di handap ieu kedah dilaksanakeun saatos cadangan snapshot.

Tong nanya kumaha kuring nyaho.

Patarosanna ngeunaan saurang nonoman anu, tanpa cadangan naon waé, ngetik "upgrade".

Jalma éta.

Éta abdi.

Hayu urang jelaskeun heula kerentanan ieu, upami henteu anjeun moal ngarasa percaya diri nalika ngetik paréntah.

Hayu urang nyandak sababaraha menit kanggo ngobrol ngeunaan kerentanan éta sorangan.

Upami teu kitu, upami anjeun ngan saukur nuturkeun paréntahna, anjeun moal ngarasa percaya diri, sareng leungeun anjeun bakal gampang ngadegdeg.

PHP dianggo pikeun ngajalankeun sakitar 70% situs wéb di dunya.

Warta anu anjeun buka isuk-isuk, mini-program di balik entéh susu anu anjeun mésér—lolobana mah éta téh keur ngerjakeun hal éta.

Éta téh infrastruktur anu aya di mana-mana, tapi anjeun ampir teu sadar.

Masalahna aya dina manajemen memori PHP.

Naon ari pagawé téh? Anjeun tiasa nganggap éta salaku pagawé anu diupah ku PHP pikeun ngalakukeun padamelan éta.

Saatos pagawé réngsé hiji pesenan, anjeunna kedah ngabersihkeun méja sateuacan nyandak pesenan salajengna.

Kali ieu, aya sababaraha jalmi anu teu beberesih, sareng palanggan salajengna ngajemput barang-barang anu ditinggalkeun ku palanggan sateuacanna.

Anu dilakukeun ku panyerang nyaéta ngahaja ninggalkeun hiji barang anu kotor dina méja teras ningali léngkah pamundut salajengna.

Upami kaayaan global henteu diset ulang kalayan leres sareng dicandak ku pamundut salajengna anu diprosés ku pagawé anu sami, panyerang tiasa ngamangpaatkeun kerentanan ieu pikeun nyelapkeun sareng ngaéksekusi kode.

Teu peryogi akun atanapi kecap akses, sareng éta henteu gumantung kana naha halaman wéb anjeun ngagaduhan kerentanan atanapi henteu.

Upami vérsi PHP kabobol, pamundut anu biasa waé tiasa masihan shell ka panyerang.

Naon ari Shell téh?

Bayangkeun kieu: konci panto anjeun rusak, jalma éta henteu ngan ukur asup ka imah, tapi ogé ngadamel salinan konci na nyalira.

Ti harita, anjeunna datang jeung indit, jadi leuwih wawuh jeung tempat éta tibatan anjeun.

Skor resmi CVSS nyaéta 9.2.

Skor ieu di tingkat sabaraha?

Tina 10, 9.2 nyaéta skor dimana anjeun tiasa eureunkeun sadayana teras lembur kanggo ngarengsekeunana.

Vérsi anu langkung handap ti 8.2.35, 8.3.36, 8.4.27, sareng 8.5.12 kapangaruhan.

Lamun jumlahna aya di handap tingkat ieu, sakabéh tentara bakal musnah; sadayana gering.

Ngajalankeun PHP nganggo Apache sareng mod_php ngagaduhan résiko anu pangluhurna. Pangguna HestiaCP untungna nganggo FPM sacara standar.

Sabaraha ageung ributna ieu téh?

Wikipedia sacara proaktif ngeureunkeun sababaraha layanan, sareng di Jepang, ti situs wéb pamaréntah dugi ka maskapai penerbangan, seueur pisan bewara pangropéa dipasang.

Pondasi 70% situs wéb di dunya oyag ku kerentanan mémori.

Oh, jeung aya carita salajengna.

Cenah aya lalaki anu ngabocorkeun inpormasi kerentanan sacara online sateuacanna, anu maksa tim resmi pikeun ngarilis patch langkung awal ti jadwal.

Ngungkabkeun kerentanan sacara prematur mangrupikeun hal anu tabu dina komunitas kaamanan; éta sami sareng mikeun péso ka panyerang.

Kajadian ieu nyababkeun kehebohan, sareng éta lalaki engké nyuhunkeun dihampura sacara umum.

Nya, maksud abdi mah sae tapi aya anu lepat. Abdi moal mairan ngeunaan masalah pendirian ieu.

Tapi tina sudut pandang urang anu buru-buru minuhan tenggat waktos, kuring tetep hoyong ngucap hatur nuhun.

Upami teu kitu, urang panginten masih lumpat taranjang ayeuna.

Aya jalma anu nyarios yén anjeun tiasa nganggo aturan WAF pikeun meungpeuk éta.

Nya, WAF tiasa nahan heula sakedap, tapi éta ngan ukur nahan dina sikep anu dipikanyaho.

Upami lawan ngarobih gaya maénna, aturanna kedah diturutan sasuaina.

Ngaronjatkeun kualitas mangrupikeun solusi anu paling dasar; WAF nyaéta ubar nyeri.

Anjeun tiasa ngadaharna nalika nyeri parah, tapi anjeun tetep kedah ngubaran panyakitna.

Anu paling teu tiasa dipercaya nyaéta kerentanan ieu konon kapanggih ku personil perusahaan kaamanan nganggo audit kode sumber anu dibantuan AI .

AI ngali liang, jeung jalma-jalma digawe lembur pikeun nambalna—kitu wé kaayaanana.

Sakapeung kuring boga pikiran anu teu puguh, siga jalma anu keur nyeken urang di sisi layar anu séjén téh sigana mah ngan ukur pagawé biasa.

Meureun maranéhna dihudangkeun ti ranjang tengah peuting pikeun lembur, nyeken skrip otomatis hiji-hiji.

Tapi kuring ngan ukur spekulasi.

Sanajan geus mikiran kitu, kuring tetep kudu masang patch-na.

Sateuacan ngamimitian, laksanakeun hal anu langkung penting tibatan ningkatkeun.

Ayeuna urang parantos ngabahas latar tukangna, hayu urang langsung ka hal anu saé.

Tangtosna, kuring ogé terang yén anjeun anu maca tulisan ieu aya dina kaayaan anu langkung parah.

Aya nu ngagunakeun Baota Panel, aya nu masang Nginx tanpa dukungan naon waé, jeung aya nu teu ngajaga server pisan, tapi situs wébna ujug-ujug teu bisa diaksés, jadi maranéhna néangan di dieu.

Henteu paduli anjeun nu mana, tindakan inti wengi ayeuna sami: ningkatkeun versi PHP di luhur ambang kaamanan, ngamimitian deui, teras verifikasi.

Abdi nyerat prosés ieu dumasar kana lingkungan HestiaCP. Pikeun anu nganggo panel sanés, ideu umumna sami, tinggal ngarobih jalurna.

HestiaCP nyaéta panel manajemen server anu gratis sareng sumber terbuka.

Ngan ku sababaraha klik dina panyungsi, anjeun tiasa ngawangun situs wéb , muka email, sareng ngatur database, jantenkeun ieu sampurna pikeun jalma anu henteu hoyong repot sareng jandela hideung unggal dinten.

Versi PHP standarna nganggo repositori Sury.

Sury nyaéta gudang perangkat lunak PHP anu diurus ku tokoh penting di komunitas Debian . Ieu dianggo ku ampir unggal panyadia VPS di sakumna dunya, sareng apdet patchna gancang pisan.

Ayeuna, Sury tetep bisa ngimbangan kaayaan kalawan alus, jadi salami anjeun nganggo metode pamasangan HestiaCP standar, anjeun tiasa kéngingkeun perbaikan pas aya pamutahiran apt.

Tapi ulah buru-buru ngaluarkeun pesenan.

Léngkah munggaran nyaéta snapshot.

Buka konsol panyadia awan, panggihan tombol snapshot, klik, teras antosan dugi ka réngsé dijalankeun.

Léngkah ieu peryogi waktos anu langkung lami tibatan sadaya léngkah-léngkah salajengna digabungkeun.

Tapi éta ogé investasi waktos anu paling berharga wengi ayeuna.

Serius, dengekeun kuring, sapuluh menit anu anjeun hémat ku cara males bisa jadi jadi tilu jam ceurik lembur di hareup.

Saatos cadangan réngsé, SSH asup, pangguna root ngalaksanakeun opat baris ieu.

apt update
apt upgrade php8.5* -y
systemctl restart php8.5-fpm
systemctl restart nginx

Réngsé. Éta wé.

Upami anjeun gaduh cabang PHP sanés anu jalan dina server anjeun, sapertos 8.2, 8.3, sareng 8.4, anu ogé ngagaduhan kerentanan ieu, tingkatkeun ogé pikeun nyingkahan masalah ka hareup.

apt upgrade php8.2* php8.3* php8.4* -y
systemctl restart php8.2-fpm php8.3-fpm php8.4-fpm

Ieu aya saran sakedik.

Leuwih hade ngetik paréntah hiji-hiji, tibatan nyalin téks anu seueur teuing pikeun ngahémat waktos.

Lain hartina kuring teu percaya kana kamampuh copy-paste anjeun.

Unggal anjeun ngetik pesen, anjeun tiasa ningali réspon sistem.

Rasa kontrol ieu mangrupikeun bagian tina kapercayaan antara anjeun sareng server anjeun.

Ieu sigana rada mistis, tapi anjeun bakal ngartos saatos anjeun ngalakukeun administrasi sistem salami sababaraha waktos.

Baheula mah kuring teu percaya kana hal ieu. Kuring sok nganggap diri kuring ahli jeung bisa ngalakukeunana sanajan panon kuring peureum.

Saatos ngalaman sababaraha halangan, kuring sadar yén beuki seueur pangalaman anjeun, beuki ageung kamungkinan anjeun ngadamel kasalahan dina widang anu biasa.

Kaakraban bisa ngajadikeun anjeun leuwih gancang, tapi ogé bisa ngajadikeun anjeun kurang seukeut.

Ngetok hiji-hiji bakal maksa anjeun pikeun ngalambatkeun laju.

Ngaronjatkeun tanpa verifikasi téh ngan saukur miceunan waktu.

Muhun, anjeun parantos réngsé ngetik paréntahna, sareng anjeun pikir éta parantos akhir dinten ieu?

Henteu.

Terus terang, kuring geus ningali loba teuing jalma anu gagal dina léngkah salajengna, kaasup kuring sorangan.

Paketna parantos diropéa, tapi prosés FPM teu acan dibalikan deui. Runtime anu lami sareng rentan masih kénéh aya dina mémori, ngarénghap beurat.

Panyerang teu keur nyeken nomer vérsi anjeun.

Éta keur nyapu prosés heubeul anu masih kénéh méh teu bisa hirup.

Salaku conto.

Nomer vérsi téh kawas nomer imah, sedengkeun prosésna téh kawas jalma nu aya di jero imah.

Anjeun ngarobih nomer bumi ka anu énggal, tapi jalmi anu sakuduna angkat henteu, sareng anjeun tetep teu tiasa nyegah naon anu sakuduna anjeun cegah.

Janten, léngkah ngamimitian deui, sanaos sigana teu perlu, saleresna mangrupikeun léngkah terakhir anu ngajantenkeun patch leres-leres efektif.

Ku kituna, verifikasi diperyogikeun.

php8.5 -v

Masalahna dianggap parantos direngsekeun ngan upami anjeun tiasa ningali PHP 8.5.12 kalayan jelas dina kaluaranna.

Mun teu katingali, balik deui jeung pariksa; ulah nyokot kasempetan nanaon.

Coba pikirkeun, skrip anu nyeken anjeun teu capé atawa tunduh; éta online 24/7.

Anjeunna malah langkung satia tibatan anjeun.

Bisa percaya teu?

Balik deui ka panel teras parios deui, kanggo panyalindungan tambahan.

Saatos urang réngsé nyetél baris paréntah, hayu urang tingali deui panel Hestia, supados aman.

Kumaha ogé, kuring pikir pentingna asuransi ganda teu tiasa dilebih-lebihkeun.

Jalankeun ieu.

v-list-sys-php

Éta bakal ngadaptar sadaya vérsi PHP anu dikenal ku panel.

Pariksa angka-angka na, 8.5.12 kedahna ngagoler kalayan patuh di jero.

Sababaraha réréncangan tiasa naroskeun naha aranjeunna kedah milih deui témplat backend PHP pikeun unggal halaman wéb dina panel setélan Wéb.

Teu kedah.

Hayu atuh kuring bébéjakeun ka anjeun, sakali anjeun ningkatkeun pakét sareng ngamimitian deui FPM, témplatna bakal otomatis épéktip.

Panel kontrol téh ngan saukur saklar; éta lain alat mistis.

Hestia gampang pisan diungkulan dina urusan leutik ieu.

Hayu atuh kuring nambahan saeutik deui ngeunaan seluk-beluk panel kontrol.

Citakan backend PHP Hestia, nalika diwincik, intina nyaéta sakumpulan pakét parameter FPM anu parantos dikonfigurasi sateuacanna.

Citakan anu anjeun pilih nangtukeun soket mana anu bade dianggo sareng pangguna mana anu bade dijalankeun.

Ieu béda ti vérsi binér PHP éta sorangan.

Janten, upami anjeun ningkatkeun pakét sareng ngagentos vérsi binér, anjeun tiasa nerapkeun sét parameter anu sami tina citakan kana vérsi énggal, sareng éta bakal tetep jalan.

Anu anjeun kedah perhatoskeun nyaéta mariksa lampu status halaman wéb dina panel kontrol saatos ningkatkeun.

Moal réngsé nepi ka sadayana héjo.

Aya anu konéng; tong ditunda-tunda, parios langsung di tempat.

Kuring geus manggihan tilu kakurangan umum pikeun anjeun.

Bagian salajengna nyaéta bagian anu dipikaresep ku sadayana – kasusah sareng tantanganna.

Abdi bakal nyobian nyerat sajujur-jujurna.

Sabenerna mah, duit saha waé moal bisa tumuwuh dina tangkal; server bisa ngadat iraha waé, jeung euweuh nu bisa nahan éta.

Jebakan anu munggaran: apt ngalaporkeun yén pakét éta henteu kapendak dina file sources.

Kamungkinan ageung sumber Sury teu ditambahkeun kalayan leres, atanapi konci na parantos kadaluwarsa.

Impor deui gantungan konci na.

Naon ari keyring? Éta tempat sistem nyimpen konci tanda tangan resmi.

Sateuacan ngabungkus, apt bakal nganggo konci ieu pikeun mastikeun yén kantong éta parantos dikaluarkeun sacara resmi, pikeun nyegah kantong éta diganti di tengah perjalanan.

Upami konci éta kadaluwarsa, sistem bakal curiga sareng langkung milih mareumanana tibatan ngaleupaskeunana.

Ngimpor deui éta téh kawas méré konci anyar ka sistem.

curl -fsSL https://packages.sury.org/php/apt.gpg | gpg --dearmor -o /usr/share/keyrings/sury-keyring.gpg

Masalah anu kadua nyaéta situs wéb éta ngabalikeun kasalahan 502 saatos pamutahiran.

Tong panik. Pariksa konfigurasi pool sareng idin socket. Salapan tina sapuluh masalah aya dina dua widang ieu.

Hestia biasana teu noel hal-hal ieu, tapi modifikasi anjeun bakal noel.

Leres pisan; abdi sorangan mah jalmi anu resep ngarobih barang sacara drastis.

Jebakan katilu ogé anu paling nyayat haté.

PHP 8.1 sareng vérsi sateuacanna parantos dihentikeun ku tim dukungan resmi, sareng moal aya patch kanggo éta ayeuna.

Naon hartosna teu aya tambalan?

Liang ieu bakal tetep aya salamina; lamun anjeun teu ngungkulan ieu ayeuna, moal aya pajabat anu datang nulungan anjeun taun payun.

Hiji-hijina pilihan nyaéta mindahkeunana sacara offline atanapi mindahkeunana.

Kuring nyaho hijrah téh ngaganggu, éta téh leres-leres ngaganggu.

Situs, éksténsi, konfigurasi—sadayana mangrupikeun masalah warisan.

Sabenerna mah, kuring masih boga salah sahiji situs wéb heubeul kuring anu tacan bisa diulas ngeunaan vérsi 8.1.

Unggal-unggal kuring mikiran ngeunaan migrasi, kuring ningali tumpukan éksténsi lawas éta teras mareuman terminal sacara teu langsung.

Tapi kumaha atuh carana ngébréhkeunana? Aya sababaraha hal anu matak ngaganggu, tapi tetep kudu dilakukeun.

Anjeun tiasa nipu server kanggo sawatara waktos, tapi éta bakal nipu anjeun gancang atanapi engké.

Ieu kecap-kecap kanggo anjeun, sareng ogé kanggo abdi sorangan.

Saatos ngalereskeun patch wengi ayeuna, énjing anu kedah dimigrasikeun bakal dimigrasikeun, sareng anu kedah diputuskeun offline bakal diputuskeun offline.

Tong nuturkeun conto kuring; situs anu lami parantos ditunda deui sareng deui.

Sateuacan angkat, hayu urang ngobrolkeun hal anu langkung abstrak tibatan nambal.

Seueur pisan anu kuring tulis, kuring teu terang ieu bakal aya mangpaatna pikeun saha waé atanapi henteu, tapi kuring parantos ngabagi sadayana tanpa ragu.

Ayeuna pesenanna parantos kaluar, hayu urang ngobrolkeun hal anu langkung abstrak.

Saatos anjeun réngsé sadaya padamelan éta, anjeun panginten mikir yén kaamanan ngan ukur ngeunaan nambal, ngamimitian deui, sareng sababaraha baris téks dina baris paréntah.

Kuring ogé baheula mikir kitu.

Kuring kakarék mastikeun deui bebeneran éta nalika kuring dihudangkeun ku pulisi di tengah peuting terus mariksa runtuyan rékaman scan.

Kasalametan téh lain ngan saukur tindakan.

Eta mah kabiasaan.

Sanajan anjeun tunduh pisan, anjeun tetep milih hudang teras ngajalankeun php8.5 -v.

Sanaos anjeun mendakan éta ngaganggu, anjeun tetep ngaklik snapshot éta sateuacan ningkatkeun.

Éta kapercayaan anu anjeun bangun sareng server ti dinten ka dinten.

Kapercayaan mangrupikeun hal anu peryogi waktos anu lami pikeun diwangun, tapi tiasa ancur ngan ukur ku hiji prosés anu henteu dimimitian deui.

Palayan teu nyarita, tapi maranéhna inget sagalana.

Éta nginget unggal perawatan anu anjeun pasihan ka anjeunna.

Éta nginget unggal anjeun nyandak kasempetan kana éta.

Urang sok mikir yén kaamanan téh kawas tameng, témbok, jeung tembok seuneu anu ngamungkinkeun urang saré tibra sakali meulina.

Kuring engké sadar yén kaamanan téh leuwih kawas hubungan.

Anjeun sareng palayan silih kenal, anjeun silih terang temperamen, sareng anjeun silih terang kauntungan masing-masing.

Hubungan sapertos kieu teu tiasa diurus ku pihak luar, sareng teu tiasa direngsekeun sakali sareng salamina.

Éta unggal paréntah anu anjeun ketik wengi ayeuna, sareng unggal waktos anjeun ngahaja ngarepotkeun diri anjeun.

Jadi ulah ulin streaking peuting ieu.

Hayu atuh pasang patch-na.

Mangga buka sareng pariksa versi na.

Teras bobo sing tibra.

Pikeun hal ieu, sare tibra leuwih penting tibatan naon waé.

nyata.

Kusabab anjeun parantos maca dugi ka dieu, upami anjeun mendakan ieu mangpaat, punten like sareng share. Upami anjeun hoyong nampi apdet heula, anjeun ogé tiasa ngiringan kuring! ⭐

Hatur nuhun parantos maca tulisan abdi. Tepang deui engké.