Noong huling bahagi ng October, may nakitang seryosong vulnerability sa PHP, isang programming language, at nagmadaling mag-update ang mga site sa buong mundo. Matagal nang ginagamit ang PHP sa napakaraming website, kaya napakalawak ng epekto. Una naming tiniyak na hindi gumagamit ng PHP ang mga serbisyo namin. Pagkatapos, tiningnan din namin kung may bakas na may nakapasok mula sa labas o may nailabas mula sa site na ito. Wala.
Hindi nagtagal, may naiulat ding kasing-seryosong vulnerability sa Next.js. Hindi na ito problema ng iba: Next.js ang gamit ng site na ito at ng iba pa naming apps. Ayon sa mga ulat, may isang butas na, kapag tugma ang kondisyon, makakapagpatakbo ng command ang taga-labas, at isa pang kayang magpatigil ng server.
Nang tingnan namin, hindi ginagamit ng site na ito ang ilang feature kung saan lumilitaw ang problema, kaya masasabing mababa ang tsansa ng totoong pinsala. Pero hindi pareho ang mababang tsansa at ang walang butas, at wala ring inilabas na paraan para iwasan ito. Nagpasya kaming lumipat sa naayos na version.
Noong November 2, dito sa office, sinuri namin ang lahat ng project na hawak namin. Isa-isa naming itinugma ang listahan ng parts na tumatakbo sa production at in-upgrade sa pinakabago ang lahat ng nasa lumang version. Nasa version 16.3.8 ang site na ito, kaya inilipat namin ito sa 16.4.3, kung saan naayos na ang problema.
Hindi pa tapos pagkatapos mag-upgrade. Puwedeng tahimik na masira ng update ang dating gumagana. Pagkatapos ng bawat isa, pinatakbo namin ang type checks, build na kapareho ng production, at check ng bawat page bago i-publish, at pagkalabas, inulit namin ang parehong check sa production.
May check ang site na ito na tumatakbo pagkatapos ng bawat release at tinitiyak na talagang bagong version ang tumatakbo sa production. Para hindi makaligtaan ang release na tahimik na naiwan sa lumang version, at ngayon din, ito ang nagkumpirma ng paglipat.
Nagdagdag din kami ng depensa. Kapag idinetalye namin ito, para na rin kaming nagbigay ng gabay sa mga umaatake, kaya pangkalahatan lang. Dati na naming tinatanggihan sa pinto ang mga operasyong galing sa ibang website; tiniyak naming muli na gumagana ito sa bawat pasukan.
Dumarami ang cyber attacks sa buong mundo. Ang pinakakapansin-pansin ay hindi ang pagpasok sa harap, kundi ang pagsingit ng masamang program sa parts na ginagamit ng lahat, at pagpasok sa mga computer at system na kumukuha ng mga parts na iyon. Kahit gaano kaingat ang sarili mong code, kaunti ang silbi nito kung may dumi na ang part na kinuha mo.
Kaya pinalakas din namin ang pagbabantay. Dati na kaming gumagamit ng serbisyong nag-a-alert kapag may vulnerability sa part na ginagamit namin, pero hindi na lang kami basta naghihintay ng alert: nagtakda kami ng proseso para kami mismo ang sumuri sa lahat ng project. Ini-lock din namin ang version ng mga parts, para hindi magbago ang laman nito nang hindi namin alam.
Wala kang kailangang gawin bilang user. Tapos na ang update sa server side, at hindi ito pakiusap na palitan ang password mo. Kung may mensaheng nagsasabing galing sa amin at humihingi ng password o payment details mo, hindi iyon kami. Hindi kami kailanman humihingi ng password sa email o chat.
Isang pagkakamaling itatala ko. Matagal nang sinasabi ng site na ito sa labas kung ano ang ginamit sa paggawa nito. Default setting ito mula nang gawin namin, at hindi namin napansin hanggang sa check na ito. Hindi ibig sabihing mapapasok agad ang site, pero sinasabi nito sa umaatake kung aling part at aling butas ang unang susubukan. Pinatay na namin ito. Mula ngayon, kasama na sa sinusuri namin ang mga setting na naiwan sa default.
Walang finish line ang depensa. Ang trabahong ito ay nagbibigay lang ng kapanatagan hanggang lumitaw ang susunod na vulnerability. Kaya ipagpapatuloy namin ang tatlong bagay: huwag pabayaan ang alam nang problema, mag-check pagkatapos ng bawat update, at huwag magtago ng hindi ginagamit. Kung ikaw mismo ang may website, isang mungkahi: isulat kung anong parts ang tumatakbo rito at anong version ng bawat isa. Kung hindi mo alam, tanungin ang gumawa nito.