Gli aggiornamenti di sicurezza PHP correggono due vulnerabilità RCE critiche
Sono disponibili aggiornamenti di sicurezza PHP per due vulnerabilità critiche che potrebbero consentire a un attaccante unauthenticated di eseguire codice su un web server. Il progetto PHP ha rilasciato PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35 per correggere CVE-2026-109618 e CVE-2026-109619 e raccomanda vivamente di aggiornare immediatamente. PHP è il linguaggio di programmazione utilizzato dal server per generare molti siti web, compresi tutti i siti WordPress.
Entrambe le vulnerabilità possono consentire la remote code execution, ovvero un attaccante potrebbe fare in modo che il server interessato esegua codice scelto dall'attaccante. Unauthenticated significa che l'attaccante non deve prima effettuare l'accesso. In un avviso anticipato pubblicato il 20 ottobre, il team di sicurezza PHP ha assegnato a entrambe le vulnerabilità un punteggio di 9.2 secondo CVSS v4.0, il Common Vulnerability Scoring System utilizzato per descrivere la gravità delle vulnerabilità di sicurezza. Questo punteggio rientra nella fascia Critica.
Queste vulnerabilità si trovano in PHP stesso, non nel core di WordPress, in un plugin o in un theme. Di conseguenza, gli aggiornamenti automatici di WordPress non possono installare le correzioni necessarie. L'installazione PHP sul server di hosting deve essere aggiornata separatamente. I proprietari dei siti web non devono presumere che un dashboard WordPress completamente aggiornato significhi che anche l'ambiente PHP sottostante sia protetto.
Secondo l'avviso di sicurezza PHP, ogni installazione PHP che gestisce richieste web è a rischio. Le modalità interessate di esecuzione di PHP includono PHP-FPM, un process manager comunemente utilizzato per gestire le richieste PHP, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed. Il progetto PHP considera il pericolo maggiore con mod_php. Ha dimostrato un exploit nel quale una richiesta unauthenticated può attivare la vulnerabilità prima che WordPress o qualsiasi altro codice applicativo inizi a essere eseguito.
Le versioni corrette sono PHP 8.5.12, PHP 8.4.27, PHP 8.3.36 e PHP 8.2.35. I siti sul branch PHP 8.5 devono passare alla versione 8.5.12, quelli sul branch 8.4 alla 8.4.27, quelli sul branch 8.3 alla 8.3.36 e quelli sul branch 8.2 alla 8.2.35. Il progetto PHP afferma che PHP 8.2 raggiungerà l'end of life il 31 dicembre 2026, dopo di che quel branch non riceverà più correzioni di sicurezza dal progetto. PHP 8.1 e le versioni precedenti sono già escluse dal supporto per gli aggiornamenti del progetto.
Alcune distribuzioni Linux e alcuni fornitori di long-term support, o LTS, possono fornire backported fixes. Un backport applica una correzione di sicurezza a una versione software precedente senza aggiornarla alla versione principale più recente. Per questo motivo, un'installazione corretta fornita da una distribuzione o da un fornitore LTS potrebbe continuare a mostrare lo stesso numero di versione PHP. In tale situazione, gli amministratori devono controllare l'avviso di sicurezza del fornitore o chiedere al proprio provider di hosting di confermare che il package pertinente contenga la correzione. Il team di sicurezza PHP ha inoltre pubblicato backport minimi del source code per PHP 7.4, PHP 8.0 e PHP 8.1, destinati a chi compila PHP dal suo source code o non può ottenere patch da un fornitore LTS.
Gli utenti WordPress possono trovare la versione PHP indicata aprendo Strumenti, Salute del sito, Informazioni e quindi espandendo la sezione Server nel dashboard. Se PHP è gestito dal provider di hosting, il passo successivo consiste nel contattare il suo team di assistenza o consultare la sua pagina di stato e chiedere se il server ha ricevuto una delle versioni corrette o un backport applicabile del fornitore. I proprietari di server autogestiti devono prima eseguire un backup, quindi installare i package PHP aggiornati forniti dalla propria distribuzione Linux o dal fornitore LTS. Il progetto PHP afferma che questi fornitori hanno ricevuto le patch in anticipo. I download del source code, insieme ai package del source code e ai binari per Windows, sono disponibili nella pagina ufficiale dei download PHP.
Gli amministratori che utilizzano il repository remirepo, gestito da volontari e disponibile su rpms.remirepo.net, devono verificare la presenza di package aggiornati. Inizialmente, l'avviso PHP affermava che il repository non avrebbe ricevuto aggiornamenti il 21 ottobre, ma successivamente la PHP Foundation ha comunicato che il maintainer del repository stava firmando i package aggiornati. L'avviso continua a incoraggiare gli utenti di remirepo a passare ai package della distribuzione o a compilare dal source code, in modo che gli aggiornamenti possano essere applicati immediatamente.
Il progetto PHP afferma che l'aggiornamento è l'unica soluzione completa. Il suo avviso descrive misure temporanee che possono ridurre l'esposizione a specifici percorsi di attacco, ma avverte esplicitamente che queste misure non rendono sicura un'installazione. Chiunque non sia in grado di applicare immediatamente la patch deve seguire le istruzioni esatte dell'avviso, invece di considerare un workaround come una correzione permanente.
Wordfence afferma che il suo team Threat Intelligence sta indagando sulle vulnerabilità e pubblicherà aggiornamenti quando necessario. Aggiunge inoltre che i clienti Wordfence Care possono accedere al servizio di incident response durante l'orario lavorativo, mentre Wordfence Response offre disponibilità 24 ore al giorno, 365 giorni all'anno, con un tempo di risposta di un'ora.
Per i proprietari di siti che cercano assistenza per proteggere sia il livello di hosting sia WordPress, AEU Hosting offre hosting WordPress gestito e protetto end to end. Indipendentemente da chi gestisce il server, i proprietari devono ottenere una conferma esplicita che PHP sia stato corretto, invece di fare affidamento soltanto sulla versione mostrata all'interno di WordPress.