L'aggiornamento di sicurezza PHP corregge due vulnerabilità critiche
L'aggiornamento di sicurezza PHP pubblicato il 21 ottobre 2026 corregge due vulnerabilità critiche nel software alla base di ogni sito web WordPress. PHP è il linguaggio di programmazione server-side utilizzato per eseguire WordPress. Il progetto PHP ha rilasciato le versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35 per risolvere entrambe le vulnerabilità, un giorno dopo che il suo team di sicurezza aveva fornito un preavviso del rilascio.
Ciascuna vulnerabilità ha ricevuto un punteggio di 9,2 secondo il Common Vulnerability Scoring System versione 4.0 (CVSS v4.0), una scala da 0 a 10 utilizzata per descrivere la gravità delle vulnerabilità di sicurezza. Un punteggio di 9,2 rientra nella fascia Critica. Il preavviso aveva programmato il rilascio per il 21 ottobre alle 14:00 UTC, ossia le 10:00 Eastern Time, ma precisava che avrebbe potuto avvenire prima se fossero diventate pubbliche informazioni su una delle due vulnerabilità o se il team avesse rilevato prove di active exploitation. L'avviso aggiornato conferma che le correzioni sono disponibili, ma non fornisce identificatori CVE né spiega le condizioni tecniche necessarie per attivare le vulnerabilità.
L'aggiornamento di sicurezza PHP è importante per gli utenti di WordPress indipendentemente dai plugin o dai temi scelti. PHP è installato sul web server e non è incluso in WordPress, quindi gli aggiornamenti automatici di WordPress non possono applicare queste correzioni. Anche l'aggiornamento del software core di WordPress, dei plugin o dei temi non modifica la versione di PHP in esecuzione sul server. Poiché i dettagli tecnici non sono indicati nell'avviso aggiornato, non è possibile determinare, basandosi soltanto su tale avviso, con quale facilità una delle due vulnerabilità potrebbe essere utilizzata contro un sito web WordPress.
La responsabilità dell'aggiornamento dipende dalla configurazione dell'hosting. In genere, i provider gestiscono PHP negli ambienti di hosting condiviso e managed hosting. Su un virtual private server (VPS), cioè un ambiente server ospitato da remoto e riservato a quel cliente, così come sui server dedicati e sugli altri sistemi amministrati autonomamente, la responsabilità ricade solitamente sul cliente o sul suo sviluppatore. I proprietari dei siti web dovrebbero verificare se il proprio provider ha installato una delle release corrette, anziché presumere che un normale aggiornamento di WordPress abbia risolto il problema.
Gli amministratori di WordPress possono individuare la versione installata aprendo Strumenti, selezionando Salute del sito, scegliendo la scheda Informazioni ed espandendo la sezione Server. Secondo la pagina del progetto PHP dedicata alle versioni supportate, PHP 8.5 e 8.4 sono in supporto attivo. PHP 8.3 riceverà soltanto correzioni di sicurezza fino al 31 dicembre 2027, mentre PHP 8.2 le riceverà fino al 31 dicembre 2026. PHP 8.1 e le release precedenti non ricevono più correzioni di sicurezza direttamente dal progetto PHP.
Esistono eccezioni limitate per i sistemi meno recenti. Il progetto PHP afferma che alcune distribuzioni Linux e alcuni fornitori di long-term support (LTS) offrono backported fixes, adattando cioè una correzione più recente affinché possa essere applicata a una release meno recente del software. Il team di sicurezza di PHP ha inoltre pubblicato backport minimi del codice sorgente per PHP 7.4, 8.0 e 8.1, destinati agli amministratori che compilano PHP dal codice sorgente. Queste misure non rendono automaticamente sicura ogni vecchia installazione. I proprietari di siti che utilizzano PHP 8.1 o versioni precedenti dovrebbero chiedere al proprio host di passare a un branch supportato ed effettuare prima dei test, perché i plugin e i temi WordPress meno recenti potrebbero smettere di funzionare con le versioni più nuove di PHP.
Gli amministratori che gestiscono autonomamente i propri sistemi dovrebbero procurarsi l'aggiornamento di sicurezza PHP attraverso il canale utilizzato per installare il software. I pacchetti del sistema operativo, i pannelli di controllo dell'hosting e le container images, cioè ambienti software preconfezionati utilizzati per eseguire le applicazioni in modo coerente, possono pubblicare i propri aggiornamenti secondo tempistiche diverse da php.net. Occorre controllare quel canale per trovare il pacchetto corretto e pianificare una finestra di manutenzione. Prima di apportare la modifica, bisogna creare una nuova copia dei file del sito web e del database, verificare che il backup possa essere ripristinato e provare la release aggiornata di PHP su uno staging site, una copia privata del sito web utilizzata per effettuare controlli prima che le modifiche raggiungano i visitatori.
Il progetto PHP annuncia le release tramite la homepage di php.net. Wordfence ha dichiarato che il suo team Threat Intelligence stava monitorando il rilascio e avrebbe esaminato il possibile impatto delle vulnerabilità su WordPress, compresa la possibilità di una protezione tramite firewall. Ha inoltre sottolineato che alcune vulnerabilità presenti nello stesso PHP possono essere corrette soltanto aggiornando PHP: l'aggiornamento del server rimane quindi l'intervento principale, anche se in seguito verranno sviluppate altre protezioni. Da allora, Wordfence ha indirizzato i lettori a un advisory separato dedicato alle versioni corrette e alle operazioni successive.
Per i proprietari di siti che preferiscono non amministrare personalmente il livello server, AEU Hosting offre managed WordPress hosting protetto end-to-end. Qualunque sia il modello di hosting utilizzato, l'azione immediata consiste nell'individuare la versione di PHP installata, stabilire chi ne controlla gli aggiornamenti, confermare che sia stata installata una release corretta e conservare un backup verificato nel caso in cui la modifica causi problemi di compatibilità.