PHP 8.5: rilasciata la patch per due vulnerabilità critiche RCE

PHP 8.5. PHP, il linguaggio di programmazione che alimenta una parte consistente del web, è stato interessato da due vulnerabilità di sicurezza considerate critiche. Gli sviluppatori hanno pubblicato in queste ore un aggiornamento per risolvere queste problematiche.

Le due falle riscontrate hanno ottenuto un punteggio di 9,2 su 10 nel CVSS (Common Vulnerability Scoring System), indicando una gravità particolarmente elevata. I ricercatori che le hanno analizzate suggeriscono che potrebbero consentire a un attaccante di prendere il controllo completo di un server web da remoto.

PHP 8.5: perché è importante

L’annuncio relativo alla correzione è stato anticipato rispetto alla data prevista, giovedì, a causa della divulgazione prematura di informazioni sulle vulnerabilità online. PHP è utilizzato quotidianamente dalla maggior parte degli utenti internet, spesso in modo inconsapevole, per gestire funzionalità come i carrelli degli acquisti online, le aree riservate dei siti web e i moduli di prenotazione.

Tra le piattaforme che si basano su PHP figurano WordPress, uno degli strumenti più diffusi per la creazione di siti web, e Wikipedia. Secondo i dati di W3Techs, il linguaggio è impiegato in circa il 69% dei siti web di cui è noto il linguaggio utilizzato.

Nato a metà degli anni Novanta come “Personal Home Page”, acronimo che poi ha dato origine a “PHP: Hypertext Preprocessor”, PHP gestisce i dati recuperati dai server e compone ciò che vediamo nel browser.

La società di sicurezza watchTowr descrive le vulnerabilità come falle di esecuzione di codice da remoto (RCE), che permetterebbero a un malintenzionato di eseguire istruzioni arbitrarie sul server, con potenziali conseguenze quali il furto di dati sensibili o l’installazione di software dannoso. Secondo il CERT-EU, la struttura di cybersicurezza delle istituzioni europee, sarebbe possibile sfruttare queste vulnerabilità anche senza autenticazione.

La divulgazione delle informazioni era inizialmente prevista per giovedì, ma un utente del forum Hacker News ne ha anticipato l’esistenza martedì pomeriggio, rivelando i codici identificativi. In seguito a questa anticipazione, PHP ha accelerato il rilascio della correzione di un giorno. Alcuni ricercatori hanno confermato la riproduzione dell’attacco, pubblicando e successivamente rimuovendo un breve video dimostrativo. Al momento non sono segnalati attacchi in corso.

Cosa cambia e quali sono gli effetti

Secondo le analisi condotte da GMO Flatt Security, il difetto sembrerebbe riguardare una funzione attiva di default che registra l’avanzamento dei file caricati. Disattivare questa funzione potrebbe ridurre il rischio, ma la stessa società non garantisce che sia sufficiente a risolvere completamente il problema. PHP non ha ancora indicato quale parte del codice sia coinvolta.

La situazione è particolarmente critica per chi utilizza versioni obsolete di PHP. Alcuni ricercatori sostengono che la vulnerabilità possa risalire fino alla versione 5 del linguaggio. Tuttavia, PHP pubblica aggiornamenti di sicurezza solo per le versioni attualmente supportate, ovvero dalla 8.2 alla 8.5. Al momento non è ancora stato comunicato quali versioni riceveranno l’aggiornamento.

Secondo una stima della società di sicurezza Mallory basata sui dati raccolti da Shodan, un motore di ricerca che censisce i dispositivi connessi a Internet, circa 884.000 server dichiarano di utilizzare versioni di PHP che non riceveranno la patch di sicurezza. Gli utenti che navigano non dovranno fare nulla, se non sperare che i gestori dei siti e i fornitori di hosting aggiornino il prima possibile PHP sui server a partire da in queste ore.

Fonte e approfondimento su PHP 8.5: articolo originale.

* Contenuto realizzato con l'ausilio di sistemi di intelligenza artificiale.