Если вы управляете магазином на WooCommerce или создаете их для других, вы наверняка заметили множество наших обновлений безопасности за последние несколько месяцев: выпуски патчей для ядра, обновления расширений и рекомендацию по PHP. Я хочу объяснить, почему это происходит, что мы делали и почему, по моему мнению, в результате платформа стала надежнее.
Если кратко: инструменты на базе ИИ значительно упростили поиск уязвимостей для всех. Исследователи применяют их к нашему коду, но, что еще важнее, мы делаем то же самое. Мы решили заняться этим целенаправленно, и волна исправлений помогает поддерживать безопасность WooCommerce для ваших коммерческих нужд.
В оставшейся части этой статьи рассказывается о том, что изменилось, что мы внедрили с июня, как исправления теперь доставляются в ваш магазин и что вам следует делать дальше. Если вам нужен только контрольный список, перейдите к разделу Что делать дальше.
Безопасность всегда была важна для нас в WooCommerce (и нашей материнской компании Automattic). Помимо поддержания программы выплаты вознаграждений за найденные ошибки через Hacker One, в разное время в прошлые годы мы также проводили собственные внутренние исследования безопасности в кодовой базе для поиска и устранения уязвимостей. Это также важная часть каждой проверки нашего кода, и мы использовали такие инструменты, как PHPCS и PHPStan, чтобы помогать со статическим анализом на предмет передовых практик создания безопасных сайтов.
Тем не менее, любой, кто следит за изменениями, которые ИИ приносит в технологическую индустрию, понимает влияние интеллекта LLM на безопасность каждого программного продукта. За последний год количество сообщений о продуктах Woo через программу HackerOne компании Automattic выросло примерно в девять раз. Количество дубликатов также подскочило, что указывает на то, что множество людей используют схожие инструменты ИИ для анализа одного и того же публичного кода и находят одно и то же.
Мы не одиноки. В августе WordPress запустила свою Инициативу по безопасности ядра в ответ на еще более резкий рост входящих отчетов, и более широкое сообщество Open Source сталкивается с тем же самым. Такое внимание — одна из реальных сильных сторон Open Source. Любой может прочитать код WooCommerce, а значит, любой может проверить его, и сейчас этим занимается множество людей. В программном обеспечении с закрытым исходным кодом существуют такие же ошибки, но проверять их разрешено меньшому количеству людей, и вы редко видите исправления. В открытом коде проблемы обнаруживаются быстрее, исправления выпускаются открыто, и любой может проверить, что изменилось.
Об этом объеме стоит знать две вещи.
Во-первых, большая часть этого не является срочной: около трех четвертей допустимых проблем, которые мы отследили в ядре WooCommerce с июля, имеют среднюю или низкую степень серьезности. Это класс проблем, которые сами по себе остаются актуальными и требуют решения, но уязвимость либо требует наличия определенного набора условий, либо влияние возможного эксплойта незначительно.
Во-вторых, для каждого отчета все равно нужен человек, который проверит его, исправит, протестирует отсутствие нежелательных побочных эффектов от исправления, а затем выпустит его. Мы также работаем над оптимизацией этого процесса, но учитывая важность WooCommerce как платформы для торговли для сотен тысяч магазинов, нам важно делать все правильно.
Более серьезное изменение за последний год заключается в том, что мы делаем до того, как кто-либо сообщит о какой-либо проблеме. Работа по безопасности раньше носила в основном реактивный характер (не считая регулярных проверок пулл-реквестов людьми): поступал отчет, мы исправляли его, мы выпускали обновление. С конца мая мы агрессивно перешли к более проактивному подходу:
- В июле мы провели специализированную проверку с помощью ИИ за целый год релизов WooCommerce, чтобы протестировать ее на исторических данных. Эта проверка выявила каждую проблему высокой степени серьезности, о которой мы уже знали, что дало нам уверенность в возможности более широкого применения первоначальной настройки для непрерывного обнаружения.
- В августе мы провели глубокое сканирование монорепозитория WooCommerce и поддерживаемых нами расширений. Эти сканирования вывели на поверхность около 700 потенциальных проблем. Результаты работы сканеров всегда содержат ложные срабатывания, поэтому команды проверили каждую находку и исправили оставшиеся.
- С августа каждое слияние с веткой trunk и релизными ветками ядра WooCommerce проходит автоматическое сканирование безопасности с использованием мощных моделей LLM. Каждое слияние с trunk также проходит проверку на регрессии с помощью ИИ. С августа в результате этого сканирования было выявлено 34 проблемы, связанные с безопасностью, и из них 18 оказались реальными. Проверка на регрессии также предотвратила попадание большого количества изъянов в релизы, и в настоящее время мы наблюдаем 77% валидных находок.
- В октябре мы зарегистрировали WooCommerce и первую группу наших расширений в программе сканирования OSS от Anthropic, и другие наши расширения стоят в очереди. В первой группе Anthropic отметила около 200 находок во всех зарегистрированных проектах. В самом ПО платформы около 90% были признаны действительными после триажа, и эти исправления поставляются в версиях 11.2.2 и 11.3.1. Мы также изучаем другие программы с открытым исходным кодом для передовых моделей (по мере их появления), чтобы дополнить нашу внутреннюю работу по сканированию.
В результате вышеупомянутых усилий наше собственное сканирование и программы сканирования, к которым мы подключились, выявили более чем в два раза больше действительных проблем ядра, чем внешние отчеты. Мы также все чаще находим проблемы до того, как поступает отчет (и закрываем поступающие отчеты как дубликаты того, что мы уже обнаружили и устраняем). Это очень важный сигнал, поскольку мы бы предпочли находить проблему с помощью собственных сканирований, а не в отчетах.
Мы также поняли, что ни одно сканирование не находит абсолютно все. Даже если мы исправим все находки от одного прохода, следующий проход (часто с лучшими моделями или с учетом опыта предыдущих сканирований и цикла валидации) выявит новые — именно поэтому у нас запущены автоматизированные сканирования наших кодовых баз.
Объем исправлений, с которым мы сталкиваемся, обычно завалил бы команду, которая обрабатывала бы каждый отчет вручную. И судя по последним индикаторам в отрасли, этот объем, скорее всего, продолжит расти в краткосрочной перспективе. Новейшие модели постоянно превосходят людей в поиске сложных и труднообнаруживаемых эксплойтов (иногда связанных в цепочки из нескольких кажущихся незначительными изъянов для повышения степени серьезности) со скоростью, за которой люди просто не могут поспевать, используя процессы полугодичной или годичной давности.
Именно поэтому наша защита также должна работать на базе LLM. В компании Automattic входящие отчеты теперь проходят первичную оценку ИИ в течение нескольких минут с помощью специализированного инструмента под названием SentrySift, поэтому люди тратят свое время на подтверждение серьезности и работу с агентами для создания исправлений, а не на разбор входящих писем. Автоматизация готовит работу. Люди определяют степень серьезности, проверяют каждое исправление и одобряют все, что отправляется в релиз.
Мы также улучшаем способ выпуска исправлений безопасности. Летом они в основном выходили вместе с обычными релизами (за исключением нескольких запланированных патчей). У этого была цена, которая нам не нравилась: если в функциональном релизе обнаруживалась несвязанная регрессия, откат поэтапного релиза означал потерю и исправлений безопасности тоже, что было проблематично, так как уязвимости уже были публично раскрыты.
Теперь наш стандартный подход — выпускать исправления безопасности отдельными релизами:
- Исправления критической и высокой степени серьезности попадают в следующий патч-релиз текущей выпущенной версии.
- Исправления средней и низкой степени серьезности попадают в патч-релиз после следующей минорной версии.
Хотя это новый стандарт, он не является жестким правилом. Если наше тестирование дает нам достаточную уверенность, а исправление достаточно важно, мы все равно выпустим его в рамках обычного релиза. WooCommerce 11.2.2 — это первый релиз в рамках нового подхода, за которым последует 11.3.1 со следующим набором исправлений. Суть в меньших по размеру, предсказуемых обновлениях, которые можно быстро применить отдельно от новых функций.
Расширения получают такое же внимание. Мы опубликовали обновления безопасности для Stripe for WooCommerce в августе и WooPayments на этой неделе. Появился также новый способ доставки таких исправлений до вас, о котором рассказывается в разделе ниже.
В соответствии с нашей Политикой поддержки патчей безопасности, наиболее серьезные проблемы рассматриваются на предмет бэкпортинга в более старые мажорные версии. Все остальное поставляется только в последнем релизе.
Это изменение крайне важно для обеспечения надежного уровня безопасности для наших продавцов. В августе мы устранили уязвимость в WooCommerce Subscriptions через восемь дней после того, как ее обнаружило наше собственное сканирование. Исправление было готово, но у нас не было возможности установить его на сайты, которые не обновляются автоматически. Все, что мы могли сделать, — это опубликовать его и попросить людей установить его.
Начиная с WooCommerce 11.2, WooCommerce.com может отмечать релиз безопасности расширения как обязательный. Подключенные магазины с активной подпиской устанавливают его при следующей проверке обновлений, обычно в течение дня, даже если автообновления отключены. WordPress.org уже делает это для критических обновлений плагинов, размещенных в этом каталоге. WooCommerce использует эту функцию только для исправлений безопасности и только после того, как разработчик опубликовал исправленную версию. Магазин, настроенный на программную блокировку автоматических обновлений, по-прежнему может это делать.
Эта защита доступна для всех расширений, доступных через WooCommerce Marketplace, на магазинах, подключенных к WooCommerce.com с активной подпиской. Это одна из лучших причин покупать расширения через официальный маркетплейс и поддерживать это соединение: когда обнаруживается что-то серьезное, исправление приходит к вам само, и вам не нужно ждать, пока вы сами это заметите.
Выход обновления безопасности PHP в октябре стал хорошим напоминанием о том, что WooCommerce — это лишь один из многих уровней. Эти уязвимости затронули любой сервер, работающий на PHP, и ни одно обновление WooCommerce не могло их исправить. Магазин на хостинге Automattic уже были защищены; всем остальным нужно было, чтобы их хостинг-провайдер принял меры.
Версии PHP до 8.2 больше не получают обновления безопасности от проекта PHP. WooCommerce 11.3 добавляет административное уведомление для магазинов на PHP 7.4 и 8.0, 11.5 — последний релиз, который их поддерживает, а 11.6 (февраль 2027 г.) требует PHP 8.1 или новее, при этом мы рекомендуем PHP 8.3 или новее. Большинство магазинов уже используют их: около 9% отслеживаемых магазинов работают на 7.4 или 8.0, и ближе к 6% среди магазинов, обновлявшихся за последний год.
Прямо сейчас проверенная работа по обеспечению безопасности имеет приоритет над всем остальным в нашей дорожной карте, и, к сожалению, в данный момент это означает, что некоторая работа, запланированная для наших продуктов, была отложена, чтобы освободить место. Я думаю, большинство читателей согласятся, что это правильный компромисс. Добавление новых функций в программное обеспечение не имеет никакой ценности, если вы не можете быть уверены в том, что уже выпущенное ПО надежно и безопасно.
Сейчас мы работаем над тем, чтобы сделать преодоление этого повышенного уровня угроз безопасности рутинным процессом для нас, а не экстренной мобилизацией всех сил. Мы уже доказали работоспособность многих отдельных компонентов и продолжаем дорабатывать и оптимизировать оставшиеся пробелы. Цель проста: сделать Woo сложной мишенью, не останавливая при этом всю остальную работу.
Если вы поддерживаете расширение, проверяйте свой код до того, как это сделает кто-то другой. Если вы распространяете свой плагин через WordPress.org или WooCommerce.com, вы уже используете сканирование каждого релиза.
Для продавцов, управляющих собственными магазинами, или разработчиков/агентств, поддерживающих магазины клиентов, следующие пункты являются важными составляющими хорошего уровня безопасности:
- Поддерживайте актуальные версии WooCommerce, ваших расширений и WordPress. После обновления безопасности проверьте установленную версию, даже если включены автоматические обновления.
- Покупайте расширения через WooCommerce Marketplace, поддерживайте подключение вашего магазина к WooCommerce.com и сохраняйте активные подписки, чтобы критические исправления доходили до вас автоматически.
- Проверьте версию PHP в разделе Инструменты > Здоровье сайта > Информация > Сервер и запланируйте переход на PHP 8.3 или более новую. Если вы уже используете один из вариантов хостинга Automattic (VIP, Pressable или WordPress.com), вы уже защищены! В противном случае подтвердите у своего хостинг-провайдера, что они применили последние обновления безопасности PHP.
- Проверяйте каждый сайт, которым вы управляете, включая общедоступные сайты для промежуточного тестирования и разработки. Один обновленный сайт ничего не говорит о безопасности остальных.
- Тестируйте программное обеспечение на кандидатах в релизы, чтобы выпуск патча безопасности проходил незаметно для сред ваших магазинов. Сюда входит и тестирование на кандидатах в релизы WordPress (знаете ли вы WordPress 7.2 Beta 4 is available?).
- Обнаружили уязвимость? Сообщите о ней конфиденциально через программу HackerOne компании Automattic (чтобы она не попала в руки злоумышленников), а не в публичном баг-трекере.
Всем, кто в этом году ответственно сообщил о проблеме: спасибо. Большее количество проверяющих и более быстрые исправления — это то, как должен работать Open Source. Давайте продолжать это сотрудничество.
О нас
Даррен Этье (Darren Ethier)
Даррен руководит различными инженерными командами, работающими над WooCommerce и плагинами.
