How to isolate WordPress so that it doesn't infect other sites when hacked?

Question

Malware

There is a pure VPS on which PHP + MySQL is not needed. But you need to install landing pages on WordPress... What level of isolation should be in order not to (potentially) infect the entire server? Actually, everything except landing pages works on PostgreSQL.
Of the possible isolation levels, I see creating a separate user with their own folder for each landing, or, at least, all landings under a separate user. Although the most reliable option is to install everything you need in a Docker container, although it seems to me that this is already too much if you can simply restrict access to file system rights.

Answer 1

Запускать от разных пользователей + open_basedir

Answer 2

Я бы изолировал докером, так надежнее будет

Answer 3

Права файловой системы, разные пользователи - это вообще первое, что надо сделать. Каждый сайт под своим пользовалетем, доступ ограничен.
Докер нужен. как еще один слой защиты. По факту, если тебе через WP зальют шелл, и через шелл используют уязвимость в ОС - то получат рута от всей ОС и тут уже отдельные пользователи тебя не спасут.
Докер же сделает так, что если через шелл получат рута ОС - хакеры получат рута от docker контейнера, из которого еще надо выбраться.
Virtualbox ты не поднимешь скорее всего на VPS, как и любую полную виртуализацию.

Answer 4

First, leave nginx in front of apache2 if it's not already, but it's better to cut out apache2 altogether and install nginx + php-fpm, there are a lot of articles, done in 15 minutes. then there is a nice article:
https://blog.kplus.pro/wp/make-wp-more-secure-with...
This article is the basis for setting up your site. The article chewed everything right on a silver platter, use it. :)

Answer 5

Actually, WP works with PostgreSQL. https://github.com/kevinoid/postgresql-for-wordpress
Distribute the admin panel by IP not to anyone, prohibit everyone from editing templates from the admin panel and, for completeness, 2FA. I guarantee - the enemy will not pass.