Përditësimet e sigurisë për PHP rregullojnë dy dobësi kritike të remote code execution
Tani janë të disponueshme përditësime sigurie për PHP që trajtojnë dy dobësi kritike në PHP, gjuhën e programimit që përpunon funksionet server-side për faqet web. Projekti PHP publikoi PHP 8.5.12, 8.4.27, 8.3.36 dhe 8.2.35 për të rregulluar CVE-2026-109618 dhe CVE-2026-109619. Të dyja dobësitë mund të lejojnë unauthenticated remote code execution, që do të thotë se një sulmues mund të ekzekutojë kodin e vet në një server pa u identifikuar më parë. Projekti PHP po u kërkon me forcë të gjithë përdoruesve që të përditësojnë menjëherë.
Në një njoftim paraprak të publikuar më 20 tetor, ekipi i sigurisë së PHP u caktoi të dyja dobësive një vlerësim prej 9.2 sipas CVSS v4.0, Common Vulnerability Scoring System që përdoret për të vlerësuar dobësitë e sigurisë. Kjo i vendos ato në kategorinë Critical. Wordfence rekomandon të sigurohet që çdo faqe web e menaxhuar të kalojë sa më shpejt të jetë e mundur në një version të korrigjuar të PHP.
Problemi prek drejtpërdrejt WordPress, sepse çdo faqe WordPress mbështetet te PHP. Megjithatë, dobësitë ndodhen në vetë PHP, jo në WordPress, në ndonjë plugin apo në ndonjë theme. Për këtë arsye, përditësimet automatike të WordPress nuk mund t’i korrigjojnë ato. Software-i PHP i instaluar në serverin web duhet të përditësohet veçmas, qoftë nga ofruesi i hosting-ut, qoftë nga personi që menaxhon serverin.
Sipas njoftimit të sigurisë të PHP, çdo instalim PHP që u shërben kërkesave web është në rrezik. Konfigurimet e prekura të serverëve përfshijnë PHP-FPM, një shërbim që përpunon kërkesat PHP veçmas nga serveri web, Apache me mod_php, php-cgi, FrankenPHP dhe LiteSpeed. Projekti PHP e konsideron rrezikun më të madh për mod_php. Ai ka demonstruar një exploit në të cilin një kërkesë web e paautentikuar mund të aktivizojë dobësinë përpara se të fillojë ekzekutimi i çfarëdo kodi të aplikacionit. Kjo do të thotë se vetë aplikacioni i faqes web nuk ka mundësi ta kontrollojë ose ta refuzojë më parë kërkesën.
Përdoruesit e PHP 8.5 duhet të instalojnë versionin 8.5.12, ndërsa instalimet PHP 8.4 duhet të kalojnë në 8.4.27. PHP 8.3 është korrigjuar në 8.3.36 dhe PHP 8.2 është korrigjuar në 8.2.35. Projekti PHP thotë se PHP 8.2 do të arrijë end of life, pikën pas së cilës nuk merr më përditësime zyrtare, më 31 dhjetor 2026. Pas kësaj date, ai nuk do të marrë më korrigjime sigurie nga projekti PHP. PHP 8.1 dhe versionet më të hershme janë tashmë jashtë mbështetjes së përditësimeve të projektit.
Disa distribucione Linux dhe ofrues të long-term support, ose LTS, mund të vazhdojnë të ofrojnë backported fixes. Një backported fix përshtat një korrigjim më të ri sigurie për një version më të vjetër të software-it, pa e kaluar atë në versionin kryesor më të ri. Administratorët që përdorin paketa të tilla duhet të kontaktojnë ofruesin e tyre ose të konsultojnë njoftimin e tij të sigurisë, sepse versioni i shfaqur i PHP mund të mbetet i pandryshuar edhe pasi të jetë instaluar korrigjimi. Ekipi i sigurisë së PHP ka vënë gjithashtu në dispozicion source backports minimale për PHP 7.4, PHP 8.0 dhe PHP 8.1 për organizatat që kompilojnë PHP nga source code ose që nuk mund të marrin përditësime nga një ofrues LTS.
Pronarët e faqeve WordPress mund ta gjejnë versionin aktual të PHP duke hapur dashboard-in e WordPress, duke zgjedhur Tools, më pas Site Health, duke hapur tab-in Info dhe duke zgjeruar seksionin Server. Nëse PHP kontrollohet nga një ofrues hosting-u, klientët duhet të kontrollojnë faqen e tij të statusit ose t’i kërkojnë të konfirmojë se serveri po përdor një nga versionet e korrigjuara. Vetëm numri i versionit mund të mos e konfirmojë mbrojtjen kur një distribucion Linux ose një ofrues LTS ka aplikuar paketën e vet me backported fixes.
Administratorët përgjegjës për serverët e tyre duhet fillimisht të krijojnë një backup dhe më pas të instalojnë paketat e përditësuara të PHP të ofruara nga distribucioni i tyre Linux ose ofruesi LTS. Projekti PHP thotë se këta ofrues i morën korrigjimet paraprakisht. Shkarkimet e source code të PHP, së bashku me paketat e source code dhe binaries për Windows, janë të disponueshme në faqen e shkarkimeve të PHP.
Personat që përdorin repository remirepo të mirëmbajtur nga vullnetarë në rpms.remirepo.net duhet të kontrollojnë për paketa të përditësuara. Njoftimi i PHP fillimisht thoshte se repository nuk do të kishte përditësime më 21 tetor, por PHP Foundation raportoi më pas se mirëmbajtësi i tij po nënshkruante paketat e përditësuara. Megjithatë, njoftimi u kërkon përdoruesve të remirepo të kalojnë te paketat e distribucionit ose ta kompilojnë PHP nga source code, në mënyrë që t’i aplikojnë menjëherë përditësimet.
Projekti PHP thotë se përditësimi është e vetmja zgjidhje e plotë. Njoftimi i tij ofron masa të përkohshme për instalimet që nuk mund të përditësohen ende, por këto vetëm e zvogëlojnë ekspozimin ndaj disa rrugëve të caktuara të sulmit dhe nuk e bëjnë të sigurt instalimin e prekur. Administratorët ose ofruesit e hosting-ut që kanë nevojë për këto masa duhet të ndjekin saktësisht udhëzimet e njoftimit, në vend që t’i trajtojnë ato si zëvendësim për një version të korrigjuar të PHP.
Wordfence Threat Intelligence po i heton dobësitë dhe thotë se do të publikojë informacione të mëtejshme kur të jetë e nevojshme. Wordfence deklaron gjithashtu se shërbimi i tij Care ofron incident response gjatë orarit të punës, ndërsa Response ofron gatishmëri 24-orëshe gjatë gjithë vitit, me kohë reagimi prej një ore. Për pronarët e faqeve që kërkojnë infrastrukturë të menaxhuar në vend që ta administrojnë vetë PHP, AEU Hosting ofron hosting të menaxhuar për WordPress, të siguruar nga fillimi deri në fund. Pavarësisht mënyrës së hosting-ut, mbetet thelbësor konfirmimi se paketa server-side e PHP është korrigjuar.