Përditësimi i sigurisë për PHP do të korrigjojë dy dobësi kritike me vlerësim 9.2
Një përditësim sigurie për PHP, i planifikuar për të mërkurën, 21 tetor 2026, do të trajtojë dy dobësi kritike në shtresën bazë të çdo sajti WordPress. Ekipi i sigurisë së PHP planifikon ta publikojë versionin në orën 14:00 UTC, ose 10:00 paradite sipas Orës Lindore. Secila dobësi ka vlerësimin 9.2 sipas CVSS v4.0, Common Vulnerability Scoring System që përdoret për të vlerësuar seriozitetin e dobësive të sigurisë nga 0 deri në 10.
PHP është gjuha e programimit që përdoret për të ndërtuar WordPress dhe funksionon si software në serverin ku hostohet sajti. Kjo e bën publikimin e ardhshëm të rëndësishëm për çdo pronar sajti WordPress, pavarësisht nga plugin-et ose theme-t e instaluara. Ekipi i sigurisë së PHP nuk ka bërë ende të ditur se cilat versione të PHP janë të cenueshme, cilat versione të reja do të përmbajnë korrigjimet, si mund të aktivizohet secila dobësi ose cilët janë identifikuesit përkatës CVE. Një CVE është një identifikues publik standard që i caktohet një dobësie sigurie të dokumentuar.
Ekipi mund ta publikojë përditësimin përpara orarit të planifikuar nëse hollësitë teknike bëhen publike ose shfaqen prova të shfrytëzimit aktiv. Aktualisht pronarët e sajteve nuk kanë asgjë për të instaluar dhe mungesa e informacionit teknik do të thotë se ende nuk mund të thuhet se sa lehtë mund të përdoret secila dobësi kundër një sajti WordPress. Ajo që pronarët mund të bëjnë tani është të përcaktojnë se kush e kontrollon PHP për sajtin e tyre dhe të sigurohen që ai person ose ofrues të jetë gati të veprojë kur të njoftohen versionet e korrigjuara.
Ky përditësim nuk do të vijë përmes vetë WordPress. PHP është software serveri dhe jo një komponent i përfshirë në WordPress, prandaj instalimi i përditësimeve për WordPress core, plugin ose theme nuk do ta ndryshojë versionin e PHP që përdor serveri. Në shumicën e shërbimeve hosting të përbashkëta dhe të menaxhuara, ofruesi i hosting mirëmban PHP. Në një VPS, pra një virtual private server të administruar nga klienti, në një server të dedikuar ose në një sistem tjetër të vetadministruar, pronari ose zhvilluesi është zakonisht përgjegjës për instalimin e përditësimit.
Pronarët e sajteve mund ta gjejnë versionin aktual duke hapur panelin e WordPress dhe duke zgjedhur Tools, Site Health, Info dhe më pas Server. Versioni i instaluar i PHP shfaqet në atë seksion. Sipas informacionit të projektit PHP për versionet me mbështetje, PHP 8.5 dhe PHP 8.4 janë nën mbështetje aktive. PHP 8.3 merr vetëm korrigjime sigurie deri më 31 dhjetor 2027, ndërsa PHP 8.2 merr vetëm korrigjime sigurie deri më 31 dhjetor 2026.
PHP 8.1 dhe versionet më të vjetra nuk marrin më korrigjime sigurie nga projekti PHP. Ekipi i sigurisë nuk ka thënë nëse dobësitë e sapozbuluara prekin këto degë më të vjetra, por nuk duhet pritur që versionet pa mbështetje të marrin korrigjim. Pronarët e sajteve që përdorin PHP 8.1 ose versione më të vjetra duhet ta pyesin ofruesin e tyre hosting për kalimin në një degë me mbështetje. Ky migrim duhet testuar fillimisht, sepse plugin-et dhe theme-t më të vjetra të WordPress mund të mos funksionojnë siç duhet me versionet më të reja të PHP.
Klientët e një ofruesi hosting duhet të kontrollojnë faqen e tij të statusit të shërbimit ose të kontaktojnë mbështetjen për të pyetur nëse do ta zbatojë përditësimin e sigurisë për PHP dhe kur. Shumë ofrues hosting e përditësojnë PHP automatikisht, por pronarët duhet ta konfirmojnë këtë dhe të mos e marrin si të mirëqenë. Administratorët përgjegjës për serverët e tyre duhet të planifikojnë një periudhë mirëmbajtjeje pak pas orës 14:00 UTC më 21 tetor, duke kontrolluar njëkohësisht nëse publikimi bëhet më herët.
Përditësimet e marra përmes paketave software të një sistemi operativ, një paneli kontrolli hosting ose container image mund të ndjekin një orar të ndryshëm nga publikimi zyrtar në php.net. container image është një kopje e paketuar e software-it dhe e mjedisit që i nevojitet për të funksionuar. Administratorët që përdorin një nga këto metoda shpërndarjeje duhet të kontrollojnë se kur furnizuesi i tyre do ta vërë në dispozicion build-in e korrigjuar të PHP.
Përpara se të ndryshoni PHP, krijoni një backup të ri që përfshin skedarët e sajtit dhe database, magazinën e strukturuar që përmban materialet dhe cilësimet e WordPress, dhe verifikoni se backup mund të rikthehet. Sajtet që kanë një staging site, domethënë një kopje të veçantë testimi që nuk përdoret nga vizitorët, duhet ta instalojnë dhe ta testojnë përditësimin atje përpara se të ndryshojnë sajtin publik. Faqja kryesore e php.net pritet ta njoftojë publikimin, përfshirë rastin kur ai mbërrin përpara afatit.
Wordfence thotë se ekipi i tij Threat Intelligence po monitoron publikimin e planifikuar. Pasi ekipi i sigurisë së PHP të publikojë hollësitë teknike që mungojnë, Wordfence synon të vlerësojë se si dobësitë mund të ndikojnë te WordPress dhe nëse është e mundur mbrojtja me firewall. firewall është software që shqyrton trafikun dhe mund të refuzojë kërkesat e dëmshme. Wordfence paralajmëron gjithashtu se disa dobësi brenda PHP mund të zgjidhen vetëm duke përditësuar PHP, çka e bën përditësimin e serverit masën kryesore, pavarësisht nëse rregullat e firewall janë të realizueshme.
Wordfence planifikon t'i shtojë versionet e prekura dhe të korrigjuara në analizën e tij pas publikimit. Klientët e shërbimit Care mund të kërkojnë ndihmë për reagimin ndaj incidenteve gjatë orarit të punës, ndërsa shërbimi Response ofron gatishmëri 24/7/365 me kohë reagimi prej një ore.
Për pronarët që preferojnë që shtresa hosting të ofrohet si shërbim i menaxhuar, AEU Hosting ofron hosting të menaxhuar për WordPress, të siguruar nga fillimi në fund. Pavarësisht mënyrës së hosting, përparësitë e menjëhershme janë identifikimi i versionit aktual të PHP, konfirmimi se kush do ta instalojë përditësimin e sigurisë për PHP, përgatitja e një backup të testuar dhe zbatimi i versionit të korrigjuar sa më shpejt që ta lejojnë në mënyrë të sigurt kontrollet e përputhshmërisë.