PHP espone una grave vulnerabilità alla sicurezza, gli operatori di siti web globali entrano urgentemente in stato di patch

Secondo il bollettino sulla sicurezza rilasciato dal team di sviluppo PHP, il punteggio di gravità delle due vulnerabilità è di 9,2 punti, utilizzando il sistema di punteggio delle vulnerabilità CVSS v4.0 con un punteggio completo di 10 punti. Il team di sviluppo chiede a tutti gli utenti PHP di prepararsi in anticipo e di effettuare l'aggiornamento non appena viene rilasciata una correzione. L'annuncio afferma inoltre che se i dettagli della vulnerabilità vengono divulgati in anticipo o se si scopre che la vulnerabilità viene effettivamente sfruttata, la patch potrebbe essere rilasciata in anticipo.

PHP è il linguaggio di programmazione lato server più utilizzato nell'infrastruttura Internet. Molti siti Web si affidano ad esso per generare pagine Web, gestire le richieste degli utenti, connettersi a database ed eseguire la logica aziendale in background. I principali sistemi di gestione dei contenuti e le piattaforme di e-commerce, tra cui WordPress, Drupal, Joomla e Magento, utilizzano tutti ampiamente PHP. Pertanto, il potenziale impatto di questa vulnerabilità non è limitato a un determinato software o a un determinato tipo di sito Web, ma può interessare un gran numero di servizi Internet.

Tra questi, la portata dell'influenza di WordPress è particolarmente degna di nota. I dati rilasciati da WordPress lo scorso anno hanno mostrato che la piattaforma supporta oltre il 40% dei siti web del mondo. La società di sicurezza informatica Wordfence sottolinea che i siti Web WordPress spesso vengono eseguiti su server con PHP installato, quindi finché esistono vulnerabilità senza patch nell'ambiente PHP sottostante, i siti Web pertinenti potrebbero essere a rischio.

I ricercatori nel campo della sicurezza stimano che il numero di host Internet potenzialmente interessati superi 1,3 milioni. Tuttavia, questa cifra rappresenta una stima preliminare dei ricercatori e non significa che tutti gli host interessati siano stati compromessi, né si può concludere che tutti i siti web saranno necessariamente colpiti nella stessa misura.

Le vulnerabilità legate all'esecuzione di codice in modalità remota sono pericolose perché un utente malintenzionato potrebbe inviare richieste appositamente predisposte a un server vulnerabile sulla rete per eseguire codice dannoso senza richiedere un account legittimo o credenziali di accesso. Una volta che l'attacco ha avuto successo, le conseguenze possono includere la manomissione delle pagine del sito Web, il furto di dati sul server, l'installazione di programmi dannosi e persino un ulteriore controllo dell'intero server. Per i siti Web che archiviano profili utente, informazioni sui clienti o record di transazioni, una violazione potrebbe anche portare a violazioni di dati più ampie e interruzioni dell’attività.

L'organizzazione di ricerca sulla sicurezza watchTowr ha dichiarato che, sulla base delle informazioni attualmente trapelate, queste due vulnerabilità potrebbero interessare più versioni a partire da PHP 5. Tuttavia, prima che PHP divulghi ufficialmente completamente i dettagli della vulnerabilità e l'elenco delle versioni interessate, l'ambito specifico dell'impatto deve ancora essere soggetto a annunci ufficiali.

Per rendere le cose ancora più complicate, i webmaster non possono semplicemente fare affidamento sulla funzionalità di aggiornamento automatico di WordPress per risolvere il problema. Wordfence ricorda specificamente che questa volta la vulnerabilità esiste nel PHP stesso, non nel programma principale di WordPress o in un plug-in. Quindi, anche se un sito web ha aggiornato automaticamente il core e i plugin di WordPress, l’ambiente PHP su cui è effettivamente in esecuzione il server potrebbe comunque dover essere aggiornato separatamente.

Per gli utenti che utilizzano l'hosting virtuale, PHP viene solitamente gestito dal provider di hosting; se il sito web è in esecuzione su un server privato virtuale autogestito, un server cloud o un server indipendente, la responsabilità della manutenzione potrebbe ricadere sul proprietario del sito web o sull'amministratore di sistema. Gli operatori dei siti web devono confermare quale versione PHP è attualmente in uso, chi gestisce il server e se il fornitore di servizi distribuirà tempestivamente una versione di riparazione.

Il team europeo di risposta alle emergenze sulla sicurezza informatica (CERT-EU) e il Centro nazionale per la sicurezza informatica del Regno Unito hanno entrambi emesso avvisi, raccomandando alle organizzazioni che non possono completare immediatamente la riparazione di isolare temporaneamente le applicazioni rivolte a Internet dalla rete pubblica o di mettere direttamente offline i siti Web pertinenti fino a quando la vulnerabilità non sarà efficacemente mitigata. L’UE ha specificamente sottolineato che la vulnerabilità potrebbe consentire agli aggressori di eseguire codice dannoso senza accedere al sistema, quindi le organizzazioni dovrebbero identificare in anticipo le risorse interessate e prepararsi per gli aggiornamenti di emergenza.

Alcune istituzioni hanno già adottato misure preventive. Il team di sviluppo del sistema operativo mobile GrapheneOS ha dichiarato di aver temporaneamente chiuso il forum di discussione degli utenti per evitare di correre rischi inutili poiché il codice di attacco proof-of-concept per la vulnerabilità è in fase di sviluppo. La sviluppatrice PHP Gina Peter Bagyard ha anche affermato che l'installazione delle patch è la chiave per risolvere il problema; se non è possibile ripararlo in tempo, spegnere il server potrebbe essere una scelta più sicura.

I ricercatori in materia di sicurezza informatica hanno inoltre avvertito che, dopo il rilascio della patch, gli aggressori potrebbero analizzare rapidamente le differenze nel codice prima e dopo la patch, scoprire come sfruttare la vulnerabilità e lanciare attacchi su larga scala sui server che non sono stati aggiornati. L'organizzazione di ricerca sulla sicurezza Sansec prevede che attacchi su larga scala potrebbero verificarsi entro soli 15 minuti dalla pubblicazione della patch. Questa previsione non significa che un attacco si verificherà sicuramente entro questo lasso di tempo, ma riflette le preoccupazioni del settore della sicurezza riguardo alla rapida espansione dei rischi dopo che la vulnerabilità sarà resa pubblica.

Nel frattempo, Dane Knecht, Chief Technology Officer di Cloudflare, ha affermato che la piattaforma ha osservato i primi segnali di attacchi contro siti Web che eseguono PHP. Cloudflare sta temporaneamente modificando le regole del firewall per fornire una protezione aggiuntiva fino al rilascio di una patch ufficiale. Tuttavia, ha sottolineato che queste misure possono essere utilizzate solo come soluzione transitoria e non possono sostituire le riparazioni formali.

L'Australian Cyber ​​​​Security Center ha dichiarato che in quel momento non era stata scoperta alcuna attività di sfruttamento confermata relativa a queste due vulnerabilità e ha raccomandato alle organizzazioni di fare un inventario dei sistemi che eseguono PHP internamente il prima possibile, di preparare le patch in anticipo e di monitorare continuamente le applicazioni per individuare eventuali anomalie. Diverse agenzie di sicurezza rilasciano dichiarazioni diverse sulle situazioni di attacco, il che significa che l’intelligence sulle minacce cambia ancora rapidamente e gli operatori dei siti web non dovrebbero dare per scontato che i loro sistemi siano sicuri solo perché gli attacchi su larga scala non sono ancora stati confermati.

Per i normali proprietari di siti web, la lezione più importante che si può trarre da questo incidente è che la sicurezza dei siti web non dipende solo dal fatto che il sistema di gestione dei contenuti e i plug-in siano mantenuti aggiornati, ma dipende anche dal fatto che l'ambiente operativo sottostante del server sia mantenuto in modo tempestivo. Anche se un sito Web aggiorna raramente i contenuti, finché i servizi vengono ancora forniti tramite Internet, gravi vulnerabilità nel software sottostante possono diventare punti di accesso per gli attacchi.

PHP prevede ufficialmente di rilasciare una versione riparata alle 14:00 UTC del 21 ottobre 2026, corrispondenti alle 22:00 ora di Pechino. Il team di sviluppo ha dichiarato che in quel momento annuncerà ulteriormente i dettagli delle vulnerabilità, le versioni interessate e le informazioni sulla versione riparata. Gli amministratori del sito web dovrebbero confermare il prima possibile dopo il rilascio dell'aggiornamento ufficiale se il fornitore di servizi o il proprio server ha completato la riparazione e, se necessario, controllare i registri di sistema e le attività anomale.

Con l'imminente rilascio della patch PHP, un gran numero di siti web in tutto il mondo entreranno nella fase di manutenzione di emergenza. Il rischio di questo incidente deriva non solo dalla vulnerabilità in sé, ma anche dal gran numero di server di vecchie versioni presenti su Internet e dal fatto che i proprietari dei siti web potrebbero non essere in grado di completare gli aggiornamenti in tempo. Per i sistemi critici che non possono essere riparati immediatamente e sono direttamente esposti a Internet, potrebbe essere più sicuro limitare temporaneamente l'accesso o metterli offline piuttosto che continuare a correre il rischio.

Ulteriori informazioni:

https://www.php.net/index.php