Il team di sicurezza di PHP ha annunciato il rilascio imminente di due patch critiche per altrettante vulnerabilità classificate con un punteggio di 9.2 su 10 secondo il sistema CVSS. Le correzioni saranno disponibili oggi, ma i dettagli su versioni interessate e componente coinvolto saranno resi noti solo al momento del rilascio. La notizia ha immediatamente acceso l'attenzione della community, poiché un punteggio così elevato indica un rischio concreto di esecuzione di codice da remoto o di bypass dei meccanismi di sicurezza.
La contromisura più diffusa non basta
Molti amministratori di sistema stanno valutando di disattivare l'upload progress delle sessioni PHP come misura temporanea. Tuttavia, gli esperti avvertono che questa soluzione non è sufficiente a mitigare entrambe le falle. La funzione, che consente di monitorare l'avanzamento degli upload, è spesso indicata come vettore di attacco, ma la sua disabilitazione potrebbe non coprire tutti gli scenari. Inoltre, disattivarla potrebbe impattare applicazioni legittime che ne fanno uso.
Attesa per i dettagli e raccomandazioni
Fino al rilascio delle patch, è fondamentale monitorare i canali ufficiali di PHP per ottenere informazioni aggiornate. Gli sviluppatori sono invitati a pianificare l'aggiornamento non appena le correzioni saranno disponibili, verificando la compatibilità con le proprie applicazioni. Nel frattempo, oltre a valutare la disattivazione dell'upload progress, si consiglia di rivedere le configurazioni di sicurezza e di applicare i principi del minimo privilegio. La trasparenza del team di PHP nel comunicare l'imminente rilascio è encomiabile, ma la corsa contro il tempo per proteggere i sistemi è già iniziata.
