Я запускаю пару веб-серверов IIS + PHP + MySQL, на которых работают различные веб-приложения (Wordpress, Expression Engine и т. Д.)
Я знаю, что всегда должен обновлять свои веб-приложения, но мне интересно, как часто мне следует обновлять PHP и Mysql? Кажется, что большинство обновлений - это исправления ошибок, улучшения стабильности, новые функции, а иногда и исправления безопасности.
Тестирование и развертывание обновления PHP / MySQL может быть довольно интенсивным процессом, поэтому я бы предпочел свести их к минимуму, если это вообще возможно.
Стоит ли мне просто планировать обновляться до самых последних версий PHP и MySQL каждые 4 июня? недели или раньше, если есть необходимое исправление безопасности?
Есть предположения?
Я согласен с шаблоном обновления 4-6 недель, поскольку вы размещаете важную услугу, вероятность того, что кто-то злоупотребит ошибкой в PHP или MySQL, больше, чем у кого-то, кто размещает меньшую услугу.
Как правило, для MySQL, если вы не ищете конкретных функций, реализованных в новой версии, нет реальной необходимости в обновлении между минорными версиями, если не устранена уязвимость системы безопасности. Даже в этом случае, если ваш сервер настроен правильно, MySQL все равно не должен прослушивать общедоступный интерфейс и, кроме того, должен быть защищен брандмауэром от внешнего доступа, поэтому любая уязвимость безопасности не должна иметь никакого эффекта на вас.
Аналогичный сценарий для PHP. Вам действительно нужно только установить новые модули по мере необходимости или выполнить полное обновление в случае, если уязвимость безопасности будет исправлена. В любом случае у вас гораздо больше шансов быть взломанным через неправильно настроенный файл php.ini (и, следовательно, через дыру в неаккуратном коде, который использует эту неправильную конфигурацию, например, открытие URL-адреса как файла), чем вы столкнетесь с уязвимостями в самом PHP, поскольку они встречаются довольно редко.
Я думаю, что 4-6-недельный цикл обновления - это слишком часто, чтобы того стоить. Лучше взгляните на обновление PHP / MySQL каждые 4-6 месяцев и сосредоточьтесь на обновлении отдельных веб-приложений, так как они будут гораздо чаще содержать исправления, касающиеся проблем безопасности. Я предлагаю подписаться на некоторые бюллетени по безопасности и обновлять свои веб-приложения, как только будут доступны исправления, никогда не ждите более нескольких дней после выявления и устранения проблемы безопасности.
Самое главное, вам следует подумать о включении этого цикла обновлений в документы о политике и процедурах вашей компании. Всегда очень легко позволить обновлениям скользить, когда на ходу есть, казалось бы, более важные вещи.