In questo articolo Indice dei contenuti 2 sezioni
Una grave vulnerabilità in PHP è rimasta annidata nel cuore del linguaggio per più di 10 anni, esponendo a rischi seri quasi il 70% dei siti web nel mondo. Il difetto permette a un soggetto esterno di far girare codice su un server senza conoscere la password di accesso. Il 21 ottobre il team di sviluppo ha diffuso patch urgenti per chiudere la falla, ma resta il fatto che il problema era presente nel motore da oltre un decennio.
La notizia sta circolando con insistenza nelle ultime ore e il motivo è facile da intuire. PHP non è un software di nicchia usato da pochi addetti ai lavori. È il linguaggio che alimenta una fetta enorme del web, quella che si incontra ogni giorno senza nemmeno accorgersene. Quando una falla colpisce un componente così diffuso, il numero di siti potenzialmente coinvolti diventa impressionante, e qui si parla appunto di circa 7 pagine web su 10.
Cosa significa eseguire codice senza password
Il punto più delicato riguarda la natura stessa del difetto. Una falla di sicurezza che consente di eseguire codice da remoto è considerata tra le più pericolose in assoluto, perché apre a chi la sfrutta la possibilità di impartire istruzioni direttamente alla macchina che ospita il sito. In questo caso non serve nemmeno superare la barriera della password, che normalmente rappresenta il primo ostacolo per chi tenta di introdursi in un sistema altrui.
In parole semplici, un server vulnerabile si trova nella condizione di poter essere controllato da qualcuno che non ne ha alcun diritto. Ed è proprio questa caratteristica a rendere la situazione tanto seria. Il fatto che non sia necessario conoscere le credenziali abbassa parecchio la soglia di difficoltà per un eventuale attacco, perché salta il passaggio che di solito richiede più tempo e più fatica.
C’è poi la questione della durata. Un difetto rimasto nel motore di PHP per oltre 10 anni significa che versioni diverse del linguaggio, rilasciate e installate in momenti differenti, potrebbero condividere lo stesso punto debole. Per tutto quel periodo il problema è rimasto lì, all’interno di un componente su cui poggia una porzione gigantesca della rete.
Le correzioni sono già disponibili
La parte rassicurante della vicenda è che i rimedi esistono già. Il team che si occupa dello sviluppo del linguaggio ha pubblicato le correzioni urgenti il 21 ottobre, mettendole a disposizione di chi gestisce siti e server. L’aggettivo scelto dice parecchio sulla gravità della situazione, perché un rilascio definito urgente indica che il tempo per intervenire è considerato un fattore decisivo.
Per chi amministra un sito basato su PHP il passaggio fondamentale è quindi l’installazione degli aggiornamenti. Finché la patch non viene applicata, la macchina resta esposta allo stesso identico rischio che ha accompagnato il linguaggio per più di un decennio. La disponibilità di una soluzione infatti non protegge in automatico chi non la adotta, e la sicurezza di ogni singolo server dipende dalla rapidità con cui viene aggiornato.
La portata del problema resta comunque notevole. Un linguaggio che sostiene quasi il 70% dei siti coinvolge una platea vastissima di gestori, dalle piattaforme più grandi fino ai portali più piccoli, tutti chiamati a verificare lo stato delle proprie installazioni. La falla, presente nel motore di PHP da oltre 10 anni, consente a un soggetto esterno di eseguire codice su un server senza la password, e le patch per correggerla sono state pubblicate il 21 ottobre.
Fonte: TecnoAndroid