Sito web e interfaccia clienti aggiornati dopo 14 minuti, i server di hosting web dopo 27 minuti: ecco come abbiamo reagito agli aggiornamenti di PHP del 21 ottobre.
Quando si tratta di vulnerabilità di sicurezza, ogni ora conta! ⚡️ Il 21 ottobre 2026, il progetto PHP ha pubblicato aggiornamenti di sicurezza per due vulnerabilità critiche (CVE-2026-109618 e CVE-2026-109619). In determinate condizioni, gli aggressori avrebbero potuto eseguire da remoto codice arbitrario su un server web con PHP. Non si tratta di un problema di ZAP-Hosting: PHP è alla base di gran parte di Internet e queste vulnerabilità riguardano siti web e server web di tutto il settore dell’hosting.
- Tipo di vulnerabilità: Remote Code Execution, ovvero l’esecuzione di codice arbitrario sul server tramite una richiesta appositamente predisposta.
- Risolta in: PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12.
- Senza correzione: il progetto PHP non fornisce più aggiornamenti di sicurezza per PHP 8.1 e versioni precedenti, quindi non è disponibile una correzione per queste vulnerabilità.
Il rilascio degli aggiornamenti era stato annunciato in anticipo. Il nostro team infrastrutture ha sfruttato questo tempo per individuare i sistemi su cui utilizziamo PHP: dal nostro sito web e dall’interfaccia clienti ai server di hosting web, fino alle interfacce phpMyAdmin dei nostri prodotti database e ai servizi interni. Prima del rilascio abbiamo applicato misure di protezione temporanee e attivato regole di filtraggio aggiuntive ai margini della nostra rete. In questo modo, il vettore di attacco noto era già limitato prima della correzione.
Grazie alla preparazione, dopo il rilascio siamo intervenuti rapidamente: il nostro sito web e l’interfaccia clienti utilizzavano la nuova versione dopo circa 15 minuti, mentre i server di hosting web l’hanno ricevuta in poco meno di mezz’ora. Anche con tempi stretti, abbiamo proceduto passo dopo passo e testato ogni modifica prima di applicarla. Abbiamo aggiornato gli altri sistemi nel corso della stessa giornata.
Abbiamo aggiornato a PHP 8.2 gli spazi web che utilizzavano ancora PHP 7.4, 8.0 o 8.1, poiché per queste vecchie versioni non è disponibile alcuna correzione. Abbiamo informato i clienti tramite le Service News nell’interfaccia clienti e via e-mail. La maggior parte dei siti web continua a funzionare senza alcuna modifica. Se la tua applicazione richiede interventi per la nuova versione di PHP, il nostro supporto sarà lieto di aiutarti.
I nostri aggiornamenti coprono i servizi che gestiamo per te. Se hai un VPS, un server dedicato o qualsiasi altro sistema gestito autonomamente, sei responsabile del software installato, che si trovi da noi, presso un altro provider o a casa tua. Se su quel sistema è in esecuzione PHP, ad esempio per un sito web, un forum, un pannello o in un container Docker, controlla subito:
- Verifica quale versione di PHP è in esecuzione sul tuo server. Le versioni corrette sono la 8.2.35, la 8.3.36, la 8.4.27, la 8.5.12 o una versione successiva.
- Installa gli aggiornamenti tramite il gestore dei pacchetti del tuo sistema operativo.
- Container Docker con PHP: scarica le immagini più recenti oppure ricreale, quindi riavvia i container. Un aggiornamento del sistema host non aggiorna PHP all’interno del container.
- Riavvia PHP-FPM e/o il server web affinché i processi in esecuzione utilizzino effettivamente la nuova versione.
- Se stai ancora utilizzando PHP 8.1 o una versione precedente, pianifica l’aggiornamento a una versione supportata. Queste versioni non riceveranno più correzioni.
Non è un caso isolato. Ad agosto abbiamo protetto la nostra infrastruttura KVM da Zapscape e Januscape, due vulnerabilità che, in determinate condizioni, avrebbero potuto consentire a una macchina virtuale di uscire dal proprio isolamento. Ogni volta vale lo stesso principio: valutare rapidamente, proteggere subito e applicare la patch non appena è disponibile una correzione stabile. La ricerca sulla sicurezza non si ferma mai, e nemmeno il nostro impegno per la sicurezza dei servizi.
Fonte preferita su Google
