Krytyczne wydania bezpieczeństwa dla PHP
Projekt PHP ogłosił wydanie bezpieczeństwa, które naprawia dwie krytyczne luki w zabezpieczeniach odkryte w PHP.
Ze względu na krytyczny stopień ciężkości tych problemów właściciele sklepów są zachęcani do natychmiastowej aktualizacji swoich instalacji PHP. Te luki w zabezpieczeniach nie są specyficzne dla WooCommerce ani WordPressa i dotyczą każdego serwera, który obsługuje aplikację PHP. Żaden aktualizacja WooCommerce lub WordPress nie jest wymagana ani planowana w związku z tymi problemami.
W przypadku sklepów WooCommerce hostowanych na infrastrukturze Automattic (WordPress.com, WordPress VIP, Pressable i WP Cloud) Twoje strony są już chronione przed niedawno ujawnionymi problemami bezpieczeństwa PHP. Automattic ściśle współpracował z zespołem ds. bezpieczeństwa PHP, aby upewnić się, że wszystkie strony hostowane na naszej platformie zostały zabezpieczone tak szybko, jak to możliwe.
Twój hostingodawca może już pracować nad aktualizacją PHP i wprowadzaniem reguł zapory aplikacji webowej (WAF) w celu złagodzenia skutków podatności, ale nadal powinieneś sprawdzać aktualizacje od swojego hostingodawcy i w razie potrzeby jak najszybciej zaktualizować PHP.
W WordPressie możesz sprawdzić, pod jaką wersją PHP działa Twoja strona, przechodząc do Narzędzia > Stan witryny > Informacje > Serwer. Wielu hostingodawców udostępnia te informacje również w panelu administracyjnym hostingu.
Wersje PHP starsze niż 8.2 nie otrzymują już aktualizacji bezpieczeństwa od projektu PHP. WooCommerce zaleca i jest w pełni kompatybilny z PHP 8.3 lub nowszym. Minimalnym wymaganiem dla WooCommerce jest PHP 7.4, ale aktywnie podnosimy ten minimalny wymóg w przyszłych wydaniach.
Jeśli Twoja strona działa na starszej wersji PHP i sam zarządzasz swoim hostingiem, powinieneś rozważyć odłączenie serwera od sieci na czas przygotowań do aktualizacji do nowszej wersji PHP. Ta porada została opublikowana przez kilka krajowych agencji cyberbezpieczeństwa. Cytując brytyjskie National Cyber Security Centre:
W przypadku braku możliwości natychmiastowego usunięcia usterki organizacje powinny rozważyć odłączenie systemu od sieci do czasu całkowitego złagodzenia problemu.
