Gli aggiornamenti di sicurezza PHP correggono due vulnerabilità critiche di remote code execution
Sono ora disponibili aggiornamenti di sicurezza PHP per due vulnerabilità critiche in PHP, il linguaggio di programmazione che gestisce le funzioni lato server dei siti web. Il progetto PHP ha rilasciato PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35 per correggere CVE-2026-109618 e CVE-2026-109619. Entrambe le vulnerabilità possono consentire una unauthenticated remote code execution, ovvero permettere a un aggressore di eseguire il proprio codice su un server senza prima effettuare l'accesso. Il progetto PHP invita vivamente tutti gli utenti ad aggiornare immediatamente.
In una comunicazione preventiva pubblicata il 20 ottobre, il team di sicurezza PHP ha assegnato a entrambe le vulnerabilità un punteggio di 9,2 secondo CVSS v4.0, il Common Vulnerability Scoring System utilizzato per valutare le vulnerabilità di sicurezza. Questo le colloca nella fascia critica. Wordfence consiglia di assicurarsi che ogni sito web gestito venga trasferito quanto prima a una release PHP corretta.
Il problema interessa direttamente WordPress perché ogni sito WordPress dipende da PHP. Tuttavia, le vulnerabilità si trovano in PHP stesso, non in WordPress, in un plugin o in un theme. Gli aggiornamenti automatici di WordPress non possono quindi correggerle. Il software PHP installato sul web server deve essere aggiornato separatamente, dal fornitore di hosting oppure da chi gestisce il server.
Secondo l'avviso di sicurezza PHP, ogni installazione PHP che gestisce richieste web è a rischio. Le configurazioni server interessate includono PHP-FPM, un servizio che elabora le richieste PHP separatamente dal web server, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed. Il progetto PHP ritiene che il pericolo sia maggiore per mod_php. Ha dimostrato un exploit nel quale una richiesta web non autenticata può attivare la vulnerabilità prima che inizi l'esecuzione di qualsiasi codice dell'applicazione. Ciò significa che l'applicazione del sito web non ha la possibilità di esaminare o rifiutare preventivamente la richiesta.
Gli utenti di PHP 8.5 devono installare la versione 8.5.12, mentre le installazioni PHP 8.4 devono passare alla 8.4.27. La correzione per PHP 8.3 è inclusa nella versione 8.3.36 e quella per PHP 8.2 nella versione 8.2.35. Il progetto PHP afferma che PHP 8.2 raggiungerà l'end of life, cioè il momento in cui non riceverà più aggiornamenti ufficiali, il 31 dicembre 2026. Dopo tale data non riceverà più correzioni di sicurezza dal progetto PHP. PHP 8.1 e le release precedenti sono già escluse dal supporto per gli aggiornamenti del progetto.
Alcune distribuzioni Linux e alcuni fornitori di supporto a lungo termine, o LTS, potrebbero continuare a fornire backported fixes. I backported fixes adattano una correzione di sicurezza più recente a una release software precedente senza aggiornarla alla versione principale più recente. Gli amministratori che utilizzano questi package devono contattare il proprio fornitore o consultarne l'avviso di sicurezza, perché la versione PHP visualizzata potrebbe rimanere invariata anche dopo l'installazione della correzione. Il team di sicurezza PHP ha inoltre reso disponibili backport minimi del codice sorgente per PHP 7.4, PHP 8.0 e PHP 8.1, destinati alle organizzazioni che compilano PHP dal codice sorgente o che non possono ottenere aggiornamenti da un fornitore LTS.
I proprietari di siti WordPress possono trovare la versione PHP attualmente in uso aprendo la bacheca di WordPress, selezionando Strumenti, scegliendo Salute del sito, aprendo la scheda Informazioni ed espandendo la sezione Server. Se PHP è controllato da un fornitore di hosting, i clienti devono controllarne la pagina di stato o chiedergli di confermare che il server utilizzi una delle release corrette. Il solo numero di versione potrebbe non confermare la protezione quando una distribuzione Linux o un fornitore LTS ha applicato un proprio package con backported fixes.
Gli amministratori responsabili dei propri server devono prima eseguire un backup e poi installare i package PHP aggiornati forniti dalla propria distribuzione Linux o dal proprio fornitore LTS. Il progetto PHP afferma che questi fornitori hanno ricevuto le correzioni in anticipo. I download del codice sorgente PHP, insieme ai package del codice sorgente e ai binaries per Windows, sono disponibili nella pagina dei download di PHP.
Chi utilizza il repository remirepo, gestito da volontari e disponibile all'indirizzo rpms.remirepo.net, deve verificare la presenza di package aggiornati. Inizialmente, l'avviso PHP affermava che il repository non avrebbe ricevuto aggiornamenti il 21 ottobre, ma la PHP Foundation ha successivamente comunicato che il responsabile della manutenzione stava firmando i package aggiornati. L'avviso invita comunque gli utenti di remirepo a passare ai package della distribuzione o a compilare PHP dal codice sorgente, così da poter applicare immediatamente gli aggiornamenti.
Il progetto PHP afferma che l'aggiornamento è l'unica soluzione completa. Il suo avviso fornisce misure temporanee per le installazioni che non possono ancora essere aggiornate, ma queste riducono soltanto l'esposizione a specifici percorsi di attacco e non rendono sicura l'installazione interessata. Gli amministratori o i fornitori di hosting che necessitano di tali misure devono seguire esattamente le istruzioni dell'avviso, anziché considerarle un'alternativa a una release PHP corretta.
Wordfence Threat Intelligence sta analizzando le vulnerabilità e afferma che pubblicherà ulteriori informazioni quando necessario. Wordfence dichiara inoltre che il suo servizio Care offre assistenza nella risposta agli incidenti durante l'orario lavorativo, mentre Response garantisce disponibilità 24 ore su 24 per tutto l'anno, con un tempo di risposta di un'ora. Per i proprietari di siti che preferiscono un'infrastruttura gestita anziché amministrare PHP autonomamente, AEU Hosting offre hosting WordPress gestito e protetto end-to-end. Indipendentemente dalla soluzione di hosting, resta essenziale ricevere conferma che al package PHP lato server sia stata applicata la patch.