PHP security update rregullon dy cenueshmëri kritike
PHP security update, i publikuar më 21 tetor 2026, rregullon dy cenueshmëri kritike në software-in mbi të cilin funksionon çdo faqe WordPress. PHP është gjuha e programimit në anën e serverit që përdoret për të ekzekutuar WordPress. Projekti PHP publikoi versionet 8.5.12, 8.4.27, 8.3.36 dhe 8.2.35 për të trajtuar të dyja dobësitë, një ditë pasi ekipi i tij i sigurisë dha një njoftim paraprak për publikimin.
Secila cenueshmëri mori vlerësimin 9.2 sipas Common Vulnerability Scoring System version 4.0 (CVSS v4.0), një shkallë nga 0 në 10 që përdoret për të përshkruar shkallën e rëndësisë së dobësive të sigurisë. Vlerësimi 9.2 bën pjesë në kategorinë Kritike. Njoftimi paraprak e planifikoi publikimin për më 21 tetor, në orën 14:00 UTC ose 10:00 paradite sipas orës lindore, por deklaroi se ai mund të bëhej më herët nëse informacioni për njërën nga dobësitë bëhej publik ose nëse ekipi vërente prova të shfrytëzimit aktiv. Njoftimi i përditësuar konfirmon se rregullimet janë të disponueshme, por nuk jep CVE identifiers dhe as nuk shpjegon kushtet teknike të nevojshme për aktivizimin e cenueshmërive.
PHP security update është i rëndësishëm për përdoruesit e WordPress, pavarësisht plugin-eve ose theme-ve që kanë zgjedhur. PHP instalohet në web server dhe nuk përfshihet brenda vetë WordPress, ndaj përditësimet automatike të WordPress nuk mund t’i zbatojnë këto rregullime. Përditësimi i WordPress core software, plugin-eve ose theme-ve gjithashtu nuk e ndryshon versionin e PHP që ekzekutohet në server. Meqë hollësitë teknike nuk paraqiten në njoftimin e përditësuar, vetëm nga ai njoftim nuk mund të përcaktohet se sa lehtë mund të përdoret secila cenueshmëri kundër një faqeje WordPress.
Përgjegjësia për përditësimin varet nga mënyra e hosting. Ofruesit zakonisht e administrojnë PHP në shared hosting dhe managed hosting. Në një virtual private server (VPS), që është një mjedis serveri i hostuar në distancë dhe i rezervuar për t’u administruar nga ai klient, përgjegjës është zakonisht klienti ose zhvilluesi i tij; e njëjta gjë vlen për dedicated servers dhe sisteme të tjera që administrohen nga vetë përdoruesi. Pronarët e faqeve duhet të kontrollojnë nëse ofruesi i tyre ka instaluar një nga versionet e rregulluara, në vend që të supozojnë se këtë e ka mbuluar një përditësim i zakonshëm i WordPress.
Administratorët e WordPress mund ta gjejnë versionin e instaluar duke hapur Tools, duke zgjedhur Site Health, më pas tab-in Info dhe duke zgjeruar seksionin Server. Sipas faqes së versioneve të mbështetura të projektit PHP, PHP 8.5 dhe 8.4 janë nën mbështetje aktive. PHP 8.3 merr vetëm rregullime sigurie deri më 31 dhjetor 2027, ndërsa PHP 8.2 i merr ato deri më 31 dhjetor 2026. PHP 8.1 dhe versionet më të vjetra nuk marrin më rregullime sigurie drejtpërdrejt nga projekti PHP.
Ka disa përjashtime të kufizuara për sistemet më të vjetra. Projekti PHP deklaron se disa distribucione Linux dhe ofrues të long-term support (LTS) ofrojnë backported fixes, që do të thotë se përshtatin një rregullim më të ri për një version më të vjetër të software-it. Ekipi i sigurisë së PHP ka publikuar gjithashtu backports minimale të source code për PHP 7.4, 8.0 dhe 8.1, të destinuara për administratorët që e ndërtojnë PHP nga source code i tij. Këto masa nuk e bëjnë automatikisht të sigurt çdo instalim të vjetër. Pronarët e faqeve që përdorin PHP 8.1 ose versione më të hershme duhet ta pyesin host-in e tyre për kalimin në një branch të mbështetur dhe fillimisht ta testojnë, sepse plugin-et dhe theme-t më të vjetra të WordPress mund të ndalojnë së funksionuari me versionet më të reja të PHP.
Administratorët që i menaxhojnë vetë sistemet e tyre duhet ta marrin PHP security update përmes channel-it të përdorur për instalimin e software-it. Paketat e operating system, hosting control panels dhe container images, që janë mjedise software-i të paketuara për ekzekutimin e njëtrajtshëm të aplikacioneve, mund t’i publikojnë përditësimet sipas një afati të ndryshëm nga php.net. Kontrollojeni atë channel për paketën e rregulluar dhe planifikoni një maintenance window. Para se të bëni ndryshimin, krijoni një kopje të re të skedarëve të faqes dhe të database, verifikoni se backup mund të rikthehet dhe testojeni versionin e përditësuar të PHP në një staging site, një kopje private të faqes që përdoret për kontrolle përpara se ndryshimet të bëhen të dukshme për vizitorët.
Projekti PHP i njofton publikimet përmes faqes kryesore të php.net. Wordfence deklaroi se ekipi i tij Threat Intelligence po monitoronte publikimin dhe do të shqyrtonte se si cenueshmëritë mund të ndikonin te WordPress, duke përfshirë edhe nëse ishte e mundur mbrojtja me firewall. Ai theksoi gjithashtu se disa dobësi në vetë PHP mund të korrigjohen vetëm duke përditësuar PHP, çka e bën përditësimin e serverit veprimin kryesor, edhe nëse më vonë zhvillohen mbrojtje të tjera. Që atëherë, Wordfence i ka drejtuar lexuesit te një advisory i veçantë që mbulon versionet e rregulluara dhe hapat vijues.
Për pronarët e faqeve që preferojnë të mos e administrojnë vetë shtresën e serverit, AEU Hosting ofron managed WordPress hosting të siguruar nga fillimi në fund. Pavarësisht modelit të hosting që përdoret, detyra e menjëhershme është të identifikohet versioni i instaluar i PHP, të përcaktohet se kush i kontrollon përditësimet e tij, të konfirmohet se është instaluar një version i rregulluar dhe të ruhet një backup i testuar, në rast se ndryshimi shkakton probleme pajtueshmërie.