На VPS с Debian 9 у меня есть несколько работающих https-сайтов WordPress, обслуживаемых с использованием Nginx + PHP 7.0 + MariaDB. Еще у меня есть почтовый сервер с Postfix + Dovecot. Все работает нормально.
Тем не менее, меня очень беспокоит функция php mail (), которая может использоваться любым сценарием php, расположенным в каталогах WordPress, для отправки электронной почты с моего сервера, используя пользователя php, который является «www-data». Я слышал ужасные истории о том, что хакеры могут загружать вредоносные скрипты php в каталоги WordPress и использовать их для отправки тысяч спам-писем с этого сервера. Как может хакер загрузить php-скрипты в WordPress, если Nginx правильно настроен и все каталоги WordPress принадлежат пользователю и группе «www-data» с 750 разрешениями?
Я попытался запретить www-data право отправлять любые электронные письма с сервера, включив директиву «authorized_submit_users =! Www-data root» в «/etc/postfix/main.cf». Таким образом, я могу отправлять электронные письма только из командной строки или с помощью функции mail () в сценариях php под пользователем «root», в то время как пользователь «www-data» не может отправлять электронные письма с сервера. Проблема в том, что если я оставлю настройки Postfix такими, все плагины WordPress, использующие функцию mail (), больше не будут работать. Я знаю, что в большинстве случаев плагины WordPress, такие как контактные формы или WooCommerce, не используют функцию mail () напрямую, а через класс PHPmailer. Это не меняет ситуации. Похоже, я не могу отказать www-data в праве отправлять электронные письма с моего сервера.
Тогда как я могу предотвратить рассылку спама вредоносными сценариями под пользователем "www-data" с помощью функции mail (), если эти сценарии когда-либо попадут в каталоги WordPress?
Хакеры обычно используют брешь в безопасности любых тем или плагинов, которые присутствуют в вашем WordPress, для загрузки вредоносных файлов и после злоупотребления сервером.
Посмотреть пример Как хакер получил доступ к моей папке загрузки WordPress? [закрыто]
Wordpress неоднократно получал брешь в безопасности, но устаревшие плагины / темы - большой риск.
Обновляйте свою систему / wordpress - лучший совет для WordPress, особенно если ваш nginx защищен правильно.