Vulnerabilità critiche in PHP: installate immediatamente gli aggiornamenti di sicurezza
Due vulnerabilità critiche in PHP potrebbero consentire agli hacker di eseguire codice dannoso sui server interessati senza doversi autenticare. Sono ora disponibili aggiornamenti di sicurezza. L’Ufficio federale per la cibersicurezza (UFCS) raccomanda di aggiornare senza indugio e immediatamente i sistemi interessati. Oltre ai server web, controllate anche le applicazioni e i dispositivi che utilizzano PHP come componente integrato.
Verificate anche le installazioni PHP integrate e interne
La verifica non deve limitarsi ai siti web accessibili al pubblico. PHP può anche far parte di interfacce di amministrazione, applicazioni aziendali interne, piattaforme di hosting, container o dispositivi. Tuttavia, gli operatori non sempre sono a conoscenza del fatto che il prodotto utilizzi PHP in background.
Verificate con i vostri fornitori di software e prestatori di servizi quali prodotti sono interessati e quali aggiornamenti sono necessari. Date priorità ai sistemi accessibili da Internet e alle applicazioni che hanno accesso a dati particolarmente sensibili o a processi aziendali critici. Verificate poi anche i sistemi interni.
Sono disponibili aggiornamenti di sicurezza
Le vulnerabilità sono state risolte nelle versioni PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Installate la versione corretta corrispondente al ramo di versione che state utilizzando oppure un aggiornamento di sicurezza appropriato fornito dal vostro fornitore di sistema operativo o di prodotto.
Per le distribuzioni Linux, le patch di sicurezza possono essere applicate retroattivamente alle versioni esistenti dei pacchetti. Una versione principale di PHP rimasta invariata non significa quindi automaticamente che la patch non sia disponibile. Sono determinanti la versione esatta del pacchetto e le informazioni di sicurezza fornite dal fornitore in questione.
Anche le versioni precedenti di PHP richiedono una soluzione. Verificate se il vostro fornitore offre patch di sicurezza oppure passate a una versione supportata.
Le vulnerabilità
Raccomandazioni
- Identificare i sistemi interessati
Individuare le installazioni PHP, le versioni in uso, la loro accessibilità e gli operatori responsabili. Tenere conto dei componenti integrati e delle applicazioni gestite esternamente. - Installare gli aggiornamenti senza indugio
Applicare gli aggiornamenti di sicurezza disponibili. Farsi confermare la correzione dai provider di hosting e dai produttori. - Aggiornare i servizi in esecuzione
Dopo l’aggiornamento, riavviare i servizi PHP interessati e i processi PHP in esecuzione continua. I container devono, se necessario, essere ricostruiti e distribuiti.. - Verificare la correzione
Verificare se le applicazioni effettivamente in esecuzione utilizzano la versione corretta di PHP o un pacchetto segnalato come corretto dal fornitore. - Verificare la presenza di anomalie sui sistemi
Esaminare i log e i sistemi interessati alla ricerca di richieste insolite, arresti anomali, file modificati e processi inattesi. Un aggiornamento non risolve una compromissione già avvenuta.
Se non è possibile effettuare un aggiornamento immediato
Limitare il più possibile l’accesso alle applicazioni interessate alle persone e ai sistemi che ne hanno effettivamente bisogno. Verificate, in particolare per le applicazioni critiche, se sia necessaria una disconnessione temporanea da Internet o una messa fuori servizio.
Le note degli editori descrivono ulteriori misure transitorie. Tra queste figurano la disattivazione della barra di avanzamento dei download PHP e, nella misura in cui ciò sia operativamente possibile, il blocco delle richieste multipart sul server web o sul proxy a monte. Tali modifiche possono causare interruzioni nei download e nei moduli e devono essere adattate all’ambiente specifico.
Queste misure riducono solo alcune vie di attacco. Non offrono una protezione completa e non sostituiscono gli aggiornamenti di sicurezza. Anche un firewall per applicazioni web (WAF) da solo non è sufficiente.
Ulteriori informazioni
L’UFCS aggiorna le proprie informazioni tecniche sul Cyber Security Hub (CSH). Per l’implementazione sono determinanti le attuali informazioni di sicurezza fornite dagli sviluppatori PHP, nonché quelle dei fornitori di sistemi operativi, di hosting e dei prodotti interessati.