Përditësimet e sigurisë për PHP mbyllin dy dobësi kritike RCE
Përditësimet e sigurisë për PHP janë të disponueshme për dy dobësi kritike që mund t’i lejojnë një sulmuesi të paautentikuar të ekzekutojë kod në një web server. Projekti PHP ka publikuar PHP 8.5.12, 8.4.27, 8.3.36 dhe 8.2.35 për të adresuar CVE-2026-109618 dhe CVE-2026-109619 dhe rekomandon fuqimisht përditësimin e menjëhershëm. PHP është gjuha e programimit që përdoret nga serveri për të gjeneruar shumë faqe interneti, përfshirë çdo faqe WordPress.
Të dyja dobësitë mund të mundësojnë remote code execution, që do të thotë se një sulmues mund ta bëjë serverin e prekur të ekzekutojë kodin e zgjedhur prej tij. I paautentikuar do të thotë se sulmuesi nuk ka nevojë të identifikohet më parë. Në një njoftim paraprak të publikuar më 20 tetor, ekipi i sigurisë së PHP u caktoi të dyja dobësive rezultatin 9.2 sipas CVSS v4.0, Common Vulnerability Scoring System që përdoret për të përshkruar ashpërsinë e dobësive të sigurisë. Ky rezultat është në kategorinë Critical.
Këto dobësi ndodhen në vetë PHP, jo në WordPress core, në ndonjë plugin ose theme. Për rrjedhojë, përditësimet automatike të WordPress nuk mund t’i instalojnë korrigjimet e nevojshme. Instalimi PHP në serverin e hosting duhet të përditësohet veçmas. Pronarët e faqeve nuk duhet të supozojnë se një dashboard WordPress plotësisht i përditësuar do të thotë se edhe mjedisi bazë PHP është i mbrojtur.
Sipas njoftimit të sigurisë të PHP, çdo instalim PHP që shërben kërkesa web është në rrezik. Mënyrat e prekura të ekzekutimit të PHP përfshijnë PHP-FPM, një process manager që përdoret zakonisht për të trajtuar kërkesat PHP, Apache me mod_php, php-cgi, FrankenPHP dhe LiteSpeed. Projekti PHP e konsideron rrezikun më të madh me mod_php. Ai ka demonstruar një exploit në të cilin një kërkesë e paautentikuar mund ta aktivizojë dobësinë përpara se të fillojë ekzekutimi i WordPress ose i kodit të ndonjë aplikacioni tjetër.
Versionet e korrigjuara janë PHP 8.5.12, PHP 8.4.27, PHP 8.3.36 dhe PHP 8.2.35. Faqet në branch PHP 8.5 duhet të kalojnë në 8.5.12, ato në 8.4 në 8.4.27, ato në 8.3 në 8.3.36 dhe ato në 8.2 në 8.2.35. Projekti PHP thotë se PHP 8.2 do të arrijë end of life më 31 dhjetor 2026, pas së cilës ky branch nuk do të marrë më korrigjime sigurie nga projekti. PHP 8.1 dhe versionet më të vjetra janë tashmë jashtë mbështetjes së projektit për përditësime.
Disa distribucione Linux dhe furnizues të long-term support, ose LTS, mund të ofrojnë backported fixes. Një backport zbaton një korrigjim sigurie në një version më të vjetër të software pa e kaluar atë në versionin kryesor më të fundit. Për këtë arsye, një instalim i korrigjuar dhe i furnizuar nga një distribucion ose furnizues LTS mund të vazhdojë të shfaqë të njëjtin numër versioni PHP. Administratorët në këtë situatë duhet të kontrollojnë njoftimin e sigurisë të furnizuesit ose t’i kërkojnë ofruesit të hosting të konfirmojë se paketa përkatëse përmban korrigjimin. Ekipi i sigurisë së PHP ka publikuar gjithashtu source backports minimale për PHP 7.4, PHP 8.0 dhe PHP 8.1 për personat që e përpilojnë PHP nga source code ose që nuk mund të marrin patch-e nga një furnizues LTS.
Përdoruesit e WordPress mund ta gjejnë versionin PHP të raportuar duke hapur Tools, Site Health, Info dhe më pas duke zgjeruar seksionin Server në dashboard. Nëse host-i menaxhon PHP, hapi tjetër është të kontaktojnë ekipin e tij të mbështetjes ose të konsultojnë faqen e tij të statusit dhe të pyesin nëse serveri ka marrë një nga versionet e korrigjuara ose një backport të zbatueshëm nga furnizuesi. Pronarët e serverëve të vetëmenaxhuar duhet fillimisht të krijojnë një backup dhe më pas të instalojnë paketat e përditësuara PHP të ofruara nga distribucioni i tyre Linux ose furnizuesi LTS. Projekti PHP thotë se këta furnizues i morën patch-et paraprakisht. Shkarkimet e source code, së bashku me source packages dhe binaries për Windows, janë të disponueshme në faqen zyrtare të shkarkimeve të PHP.
Administratorët që përdorin repository remirepo në rpms.remirepo.net, i cili mirëmbahet nga vullnetarë, duhet të kontrollojnë për paketa të përditësuara. Njoftimi i PHP fillimisht thoshte se repository nuk do të kishte përditësime më 21 tetor, por PHP Foundation raportoi më pas se mirëmbajtësi i repository po nënshkruante paketat e përditësuara. Njoftimi vazhdon t’i inkurajojë përdoruesit e remirepo të kalojnë te paketat e distribucionit ose ta përpilojnë software nga source code, në mënyrë që përditësimet të mund të zbatohen menjëherë.
Projekti PHP thotë se përditësimi është e vetmja zgjidhje e plotë. Njoftimi i tij përshkruan masa të përkohshme që mund të zvogëlojnë ekspozimin ndaj rrugëve të caktuara të sulmit, por paralajmëron shprehimisht se këto masa nuk e bëjnë instalimin të sigurt. Kushdo që nuk mund ta instalojë menjëherë patch-in duhet të ndjekë udhëzimet e sakta të njoftimit, në vend që ta trajtojë një workaround si korrigjim të përhershëm.
Wordfence thotë se ekipi i tij Threat Intelligence po i heton dobësitë dhe do të publikojë përditësime kur të jetë e nevojshme. Ai thotë gjithashtu se klientët e Wordfence Care mund të kenë qasje në incident response gjatë orarit të punës, ndërsa Wordfence Response ofron gatishmëri 24 orë në ditë, 365 ditë në vit, me kohë përgjigjeje prej një ore.
Për pronarët e faqeve që kërkojnë ndihmë për mbrojtjen e shtresës së hosting, si edhe të WordPress, AEU Hosting ofron hosting të menaxhuar për WordPress, të siguruar nga fillimi në fund. Pavarësisht se kush e menaxhon serverin, pronarët duhet të marrin konfirmim të qartë se PHP është korrigjuar, në vend që të mbështeten vetëm te versioni i shfaqur brenda WordPress.