Eu tenho meu VPS pessoal executando o servidor Ubuntu 12.04 com pilha AMP padrão.
Quero oferecer hospedagem ao meu cliente. mas estou preocupado se eu der ao cliente wp hosting com acesso wp-admin, isso significa que ele poderá executar código php no meu servidor. Sendo um VPS executado com um único nome de usuário e dados www do apache, isso poderia levar a uma violação grave de segurança?
Posso chmod www-data apenas arquivos que residem no diretório de uploads. Desativando assim plug-ins extras e acesso às edições de arquivos de tema. Mas isso será suficiente?
Responder1
Acho que o que devemos ter em mente é que o Wordpress, como qualquer outro software popular, costuma ser alvo de ataques. O resultado é que você poderia ter suas permissões configuradas da melhor maneira possível, mas se uma extensão for instalada e 6 meses depois uma vulnerabilidade for encontrada nela, não demorará muito para que seu servidor seja comprometido.
A menos que você ou seu cliente estejam preparados para aplicar atualizações de segurança diligentemente e verificar regularmente todos os aspectos de segurança do seu servidor, é quase certo que você será comprometido em algum momento.
Não estou dizendo que é impossível, apenas vale a pena decidir se você quer ou não arriscar seu próprio VPS nisso.
Responder2
Os sites Wordpress permitem que os administradores baixem e instalem plug-ins, que são apenas bolas de código PHP. Isso significa que seu cliente pode executar o que quiser (recursos de segurança do módulo PHP para desabilitar chamadas diretas para exec, etc) em seu servidor. Você está a um escalonamento de privilégios local deles com root. Você pode impedi-los de fazer isso? Talvez. Eu não apostaria nisso se você tivesse mais alguma coisa que desejasse naquele servidor.
Sua melhor aposta é manter o WP em uma VM ou contêiner próprio que você possa reinstalar, se necessário.