WebTolkRu

Вышел RISH 2.8.0: изоляция PHP, защита CRON и SFTP Этот релиз появился после разбора реального взлома. Сайт был скомпрометирован через уязвимость в установленной версии шаблона на базе Helix. После очистки мы проверили, как злоумышленник пытался закрепиться на сервере. Он добавил вредоносные задания в пользовательский CRON и собственный публичный ключ в authorized_keys. Это позволило бы вернуть доступ даже после удаления заражённых файлов. Аудит показал, что нужно точнее разделить полномочия PHP-процесса и системного пользователя. Главный принцип RISH 2.8.0: PHP должен обслуживать сайт, но не управлять способом входа на сервер и не создавать себе постоянные задания. Что изменилось? 🔒 Изоляция PHP-FPM Для PHP-FPM добавлены ограничения systemd. Процесс сайта больше не получает доступ к домашним каталогам, системным устройствам, общим временным файлам, параметрам и журналам ядра, модулям, cgroups и механизмам повышения привилегий. Ограничения действуют и для программ, запускаемых из PHP. 🔐 Учётные данные под контролем root Пароли системного пользователя, MariaDB и администратора сайта перенесены из /home/<user>/.pass.txt в /root/rish/credentials/<user>. Заодно вместо старого неочевидного формата появился понятный файл с отдельными секциями и комментариями. ⏱ Защита CRON Изменять пользовательские CRON-задания теперь может только root. Существующие задания продолжают работать, а администратор по-прежнему управляет ими через меню RISH. Код сайта больше не сможет самостоятельно назначить себе повторный запуск. 🔑 Защита SFTP Публичные ключи перенесены из домашнего каталога пользователя в /etc/ssh/authorized_keys/<user> и принадлежат root. При обновлении RISH переносит найденные ключи, не добавляя одинаковые строки, и показывает их отпечатки для проверки. SFTP-сессии теперь работают только по ключу, без терминала, forwarding, пользовательских SSH-сценариев и произвольных команд. 🧩 Обновления расширений Joomla В аудите Joomla появилась проверка доступных обновлений компонентов, модулей, плагинов и шаблонов. RISH использует штатную Joomla CLI-команду и показывает установленную и доступную версии. Обновления автоматически не устанавливаются. ✅ Проверка и откат Миграция выполняется последовательно. Новые параметры PHP-FPM и SSH проверяются до окончательного применения, а при ошибке RISH восстанавливает предыдущую конфигурацию. Команда rish check получила проверки новой модели безопасности. Подробно о причинах и всех изменениях RISH 2.8.0: https://rish.su/blog/rish-2-8-0-izolyatsiya-php-zashchita-cron-i-sftp