PHP end of life: cosa significa PHP2Shell per PHP 7.4, 8.0 e 8.1

Esiste una correzione PHP2Shell per un PHP a fine vita?

Non sotto forma di release. L’advisory di PHP spiega che PHP 8.1 e precedenti non ricevono più aggiornamenti dal progetto PHP, che alcune distribuzioni e fornitori LTS offrono correzioni con backport (conviene chiedere al proprio fornitore) e che l’alternativa è aggiornare a una versione supportata.

L’advisory aggiunge che, vista la gravità di queste vulnerabilità, il team di sicurezza di PHP ha fornito backport minimi sul sorgente per PHP 7.4, PHP 8.0 e PHP 8.1, pensati per chi compila PHP da sé o non ha accesso a un fornitore LTS.

Ci sono quindi tre cose diverse, da non confondere:

Quali versioni di PHP sono a fine vita?

I rami supportati che ricevono la correzione PHP2Shell sono 8.2, 8.3, 8.4 e 8.5:

PHP 8.1, 8.0, 7.4 e tutte le versioni precedenti sono a fine vita. L’annuncio di PHP ricorda anche che PHP 8.2 arriva a fine vita il 31 dicembre 2026, quindi passare a 8.2 vale per poco. La ricerca originale riferisce che almeno una delle falle PHP2Shell risale fino a PHP 5.4.

Uso PHP 7.4. Cosa devo fare?

1. Scopri da dove arriva il tuo PHP. Se te lo fornisce il provider di hosting o la distribuzione Linux, chiedi a loro o consulta il loro avviso di sicurezza per un pacchetto con backport.
2. Se compili PHP da te, applica la patch ufficiale sul sorgente per il tuo ramo, ricompila, distribuisci e riavvia tutti i worker PHP. Tieni traccia della patch e della build.
3. Pianifica il passaggio a un ramo supportato (8.3 o successivo). È l’unica strada che continua a ricevere correzioni di sicurezza.

E se uso PHP 7.3 o una versione più vecchia?

Per PHP 7.3 e precedenti non esiste una patch ufficiale PHP2Shell: le patch sul sorgente di PHP coprono solo 7.4, 8.0 e 8.1. Se il tuo fornitore non distribuisce un pacchetto corretto per la tua release, l’unica correzione è passare a un ramo supportato. Se non riesci a farlo a breve, valuta di mettere il sito offline o di limitarne l’accesso, come consigliano diverse agenzie nazionali per i sistemi che non si possono aggiornare.

Un numero come 7.4.33 dimostra che sono vulnerabile?

Non da solo. Un pacchetto con backport del fornitore o una tua build patchata mantiene il numero 7.4 pur contenendo la correzione. Se indichi che PHP arriva da un pacchetto del sistema operativo o è compilato dal sorgente, il PHP version checker ti invita a verificare la patch del fornitore invece di segnalare la versione come colpita. Una build upstream di 7.4 senza patch è colpita.

Passare da PHP 7.4 a 8.3 romperà il mio sito?

Può succedere. I salti di versione maggiore eliminano funzioni vecchie e cambiano comportamenti, con effetti su plugin, temi e codice personalizzato datati. Fai un backup completo, prova su una copia di staging, aggiorna prima l’applicazione e i plugin, e dopo il cambio controlla login, moduli, pagamenti e attività pianificate. Per WordPress, vedi la guida alla versione PHP di WordPress.

Posso scaricare qui un installer della patch PHP2Shell?

No. Usa i download ufficiali del sorgente e i branch di backport linkati dall’annuncio di PHP. Il modo di applicarli dipende dalla tua build, dalle estensioni e dal deployment, quindi non esiste un installer universale. Se preferisci non compilare PHP da te, usa un pacchetto del fornitore o passa a una release supportata.

Come dimostro che una build PHP personalizzata è patchata?

Registra la revisione del sorgente, il branch di backport applicato, la data della build e dove è stata distribuita. Poi verifica che il sito esegua davvero la nuova build dopo il riavvio dei worker; php -v da riga di comando potrebbe ancora puntare a un altro binario. Vedi la guida per controllare la versione di PHP e torna al verificatore PHP2Shell per la panoramica.

Quali fonti sostengono questa pagina?

• The PHP Group: advisory di sicurezza
• The PHP Group: versioni supportate
• The PHP Group: download
• Manuale PHP: installazione su sistemi Unix
• Wiz Research: ricerca originale
• Canonical: avviso di sicurezza Ubuntu