Versione PHP di WordPress: controllala e aggiornala per PHP2Shell

Vuoi sapere se il tuo sito WordPress è interessato da PHP2Shell, e non solo come cambiare PHP? Parti da PHP2Shell e WordPress.

Come controllo la versione PHP di WordPress?

Ti serve un account da amministratore.

1. Nella bacheca di WordPress apri Strumenti → Salute del sito (Tools → Site Health).
2. Fai clic sulla scheda Info e apri la sezione Server.
3. Leggi Versione PHP e PHP SAPI (il modo in cui viene eseguito PHP, per esempio FPM/FastCGI o Apache).

Inseriscili entrambi nel verificatore della versione PHP per sapere se PHP2Shell riguarda il tuo sito.

Il mio sito WordPress è vulnerabile a PHP2Shell?

Dipende dalla versione di PHP, non da quella di WordPress. WordPress funziona su PHP, e PHP2Shell è una falla di PHP stesso. Se la versione di PHP in Salute del sito è precedente alla prima versione corretta del suo ramo, il sito è interessato, a meno che il tuo hosting non usi un pacchetto di una distribuzione Linux che contiene la correzione in backport.

Aggiornare WordPress e i plugin basta contro PHP2Shell?

No. Gli aggiornamenti del core di WordPress, dei temi e dei plugin non toccano il runtime di PHP sottostante, e PHP2Shell si corregge solo aggiornando PHP. Continua comunque ad aggiornare WordPress, temi e plugin, perché quegli aggiornamenti risolvono altri problemi.

Come aggiorno la versione PHP per WordPress?

Dipende dal tuo hosting:

• Hosting condiviso o WordPress gestito: è il provider ad aggiornare PHP. Alcuni ti fanno scegliere la versione nel loro pannello; scegline una corretta dello stesso ramo. Altrimenti invia la richiesta che trovi nella guida alla patch PHP2Shell.
• cPanel o Plesk: cambia la versione di PHP del dominio, poi verifica in Salute del sito. Vedi cambiare versione PHP in cPanel.
• Il tuo server: aggiorna i pacchetti PHP e riavvia PHP-FPM o Apache. Vedi aggiornare PHP su Ubuntu.
• Docker: ricostruisci con un’immagine PHP corretta. Vedi immagine Docker di PHP.

Una versione PHP più recente può rompere il mio sito WordPress?

Restare nello stesso ramo (per esempio passando all’ultima release 8.3) porta solo correzioni e raramente causa problemi. Saltare da un ramo all’altro, per esempio da 7.4 a 8.3, può rompere plugin e temi datati. Prima di cambiare ramo fai un backup completo, usa una copia di staging se il tuo hosting la offre e aggiorna prima plugin e temi. La guida ufficiale di WordPress consiglia lo stesso.

Dopo l’aggiornamento Salute del sito mostra ancora la vecchia versione PHP. Perché?

Salute del sito indica il PHP che ha servito quella pagina. Se non è cambiato, il nuovo PHP non è stato applicato a questo dominio oppure i processi PHP non sono ancora stati riavviati. Controlla l’impostazione PHP del dominio e chiedi al tuo hosting di confermare il riavvio. Anche un pacchetto con backport del provider può mantenere il vecchio numero: chiedi quale bollettino di sicurezza include la correzione.

Un plugin per la modalità manutenzione protegge WordPress da PHP2Shell?

No. La modalità manutenzione è una funzione di WordPress che gira su PHP, e alcuni percorsi di attacco si verificano prima che venga eseguito il codice di WordPress. Se non puoi ancora aggiornare PHP, chiedi al tuo hosting di bloccare il traffico prima che arrivi a PHP oppure di mettere temporaneamente offline il sito.

PHP2Shell e wp2shell sono la stessa cosa?

No. wp2shell è il nome di una vulnerabilità critica distinta nel core di WordPress, che si corregge aggiornando WordPress. PHP2Shell si corregge aggiornando PHP. Un sito WordPress ha bisogno che siano aggiornati entrambi. Altre informazioni nella home page del verificatore PHP2Shell.

Quali fonti supportano questa pagina?

• WordPress.org: la schermata Salute del sito
• WordPress.org: aggiornare PHP
• The PHP Group: avviso di sicurezza
• cPanel: MultiPHP Manager
• Plesk: impostazioni PHP
• Rapid7: wp2shell, una vulnerabilità distinta del core di WordPress