Aggiornamento di sicurezza PHP pronto a correggere due vulnerabilità critiche con punteggio 9.2
Un aggiornamento di sicurezza PHP, previsto per mercoledì 21 ottobre 2026, risolverà due vulnerabilità critiche alla base di ogni sito web WordPress. Il team di sicurezza di PHP prevede di pubblicare la release alle 14:00 UTC, ovvero alle 10:00 Eastern Time. Ciascuna vulnerabilità ha un punteggio di 9.2 secondo CVSS v4.0, il Common Vulnerability Scoring System utilizzato per valutare la gravità delle vulnerabilità di sicurezza da 0 a 10.
PHP è il linguaggio di programmazione utilizzato per creare WordPress e viene eseguito come software sul server che ospita il sito web. Questo rende la prossima release rilevante per ogni proprietario di un sito WordPress, indipendentemente dai plugin o dai theme installati. Il team di sicurezza di PHP non ha ancora comunicato quali versioni di PHP siano vulnerabili, quali release conterranno le correzioni, come possa essere attivata ciascuna vulnerabilità o i relativi identificatori CVE. Un CVE è un identificatore pubblico standard assegnato a una vulnerabilità di sicurezza documentata.
Il team potrebbe pubblicare l'aggiornamento prima dell'orario previsto se i dettagli tecnici diventassero pubblici o emergessero prove di active exploitation. Al momento non c'è nulla che i proprietari dei siti debbano installare e, in assenza di informazioni tecniche, non è ancora possibile stabilire con quale facilità una delle due vulnerabilità potrebbe essere sfruttata contro un sito web WordPress. Ciò che i proprietari possono fare ora è individuare chi controlla PHP per il loro sito e assicurarsi che tale persona o provider sia pronta ad agire quando saranno annunciate le versioni corrette.
Questo aggiornamento non arriverà tramite WordPress. PHP è un software del server, non un componente incluso in WordPress; pertanto, installare aggiornamenti del core, dei plugin o dei theme di WordPress non cambierà la versione di PHP utilizzata dal server. Nella maggior parte dei servizi di shared hosting e managed hosting, è l'hosting provider a gestire PHP. Su un VPS, ossia un virtual private server amministrato dal cliente, su un server dedicato o su un altro sistema autogestito, l'installazione dell'aggiornamento spetta normalmente al proprietario o allo sviluppatore.
I proprietari dei siti possono trovare la versione attuale aprendo la dashboard di WordPress e selezionando Strumenti, Salute del sito, Informazioni e quindi Server. La versione di PHP installata appare in questa sezione. Secondo le informazioni sulle versioni supportate del progetto PHP, PHP 8.5 e PHP 8.4 sono in supporto attivo. PHP 8.3 riceverà esclusivamente correzioni di sicurezza fino al 31 dicembre 2027, mentre PHP 8.2 le riceverà soltanto fino al 31 dicembre 2026.
PHP 8.1 e le release precedenti non ricevono più correzioni di sicurezza dal progetto PHP. Il team di sicurezza non ha dichiarato se le vulnerabilità appena comunicate interessino queste branch meno recenti, ma non ci si deve aspettare che le versioni non supportate ricevano una correzione. I proprietari dei siti che utilizzano PHP 8.1 o versioni precedenti dovrebbero chiedere al proprio hosting provider di passare a una branch supportata. Questa migrazione deve essere prima sottoposta a test, perché i plugin e i theme WordPress meno recenti potrebbero smettere di funzionare correttamente con le nuove versioni di PHP.
I clienti di un hosting provider dovrebbero controllarne la pagina sullo stato del servizio o contattare il supporto per chiedere se applicherà l'aggiornamento di sicurezza PHP e quando. Molti hosting provider aggiornano PHP automaticamente, ma i proprietari dovrebbero verificarlo anziché darlo per scontato. Gli amministratori responsabili dei propri server dovrebbero programmare una maintenance window poco dopo le 14:00 UTC del 21 ottobre, controllando al contempo l'eventuale pubblicazione anticipata della release.
Gli aggiornamenti ottenuti tramite i pacchetti software di un sistema operativo, un pannello di controllo dell'hosting o container image potrebbero seguire una tempistica diversa da quella della release ufficiale su php.net. Una container image è una copia preconfezionata del software e dell'ambiente necessario per eseguirlo. Gli amministratori che utilizzano uno di questi metodi di distribuzione dovrebbero verificare quando il proprio fornitore renderà disponibile la build corretta di PHP.
Prima di modificare PHP, create una nuova copia dei file e della database del sito, l'archivio strutturato che contiene i contenuti e le impostazioni di WordPress, e verificate che il backup possa essere ripristinato. I siti dotati di uno staging site, cioè una copia di test separata non utilizzata dai visitatori, dovrebbero installare e testare lì l'aggiornamento prima di modificare il sito web live. La homepage di php.net dovrebbe annunciare la release, anche qualora venisse pubblicata prima del previsto.
Wordfence afferma che il suo team Threat Intelligence sta monitorando la release prevista. Dopo che il team di sicurezza di PHP avrà pubblicato i dettagli tecnici mancanti, Wordfence intende valutare in che modo le vulnerabilità potrebbero influire su WordPress e se sia possibile una protezione mediante firewall. Un firewall è un software che esamina il traffico e può respingere le richieste dannose. Wordfence avverte inoltre che alcune vulnerabilità interne a PHP possono essere risolte soltanto aggiornando PHP, rendendo l'aggiornamento del server la risposta principale indipendentemente dalla possibilità di creare regole firewall.
Wordfence prevede di aggiungere alla propria analisi le versioni interessate e quelle corrette dopo la pubblicazione. I clienti del servizio Care possono richiedere assistenza di incident response durante l'orario lavorativo, mentre il servizio Response offre disponibilità 24/7/365 con un tempo di risposta di un'ora.
Per i proprietari che preferiscono ricevere il livello di hosting come servizio gestito, AEU Hosting offre managed WordPress hosting protetto end to end. Indipendentemente dalla configurazione dell'hosting, le priorità immediate sono identificare la versione attuale di PHP, confermare chi distribuirà l'aggiornamento di sicurezza PHP, preparare un backup verificato e applicare la release corretta non appena i controlli di compatibilità lo consentiranno in sicurezza.