Giacomo Lanzi
Aggiornare php: perche’ e come fare
Tempo di lettura: 5 min
PHP e’ uno dei linguaggi di scripting piu’ popolari oggi sul web. Secondo W3Techs, il PHP e’ utilizzato da oltre l’82% di tutti i siti web che utilizzano un linguaggio di programmazione lato server. Cio’ significa che 8 siti su 10 utilizzano PHP in una forma o nell’altra. Essendo un linguaggio di scripting, e’ fondamentale aggiornare PHP all’ultima versione disponibile, a meno di esigenze particolari.
Oggi cerchiamo di capire l’importanza di aggiornare alle ultime versioni PHP, non solo per motivi di sicurezza, ma anche per migliorare le prestazioni e il supporto. Verra’ anche mostrato il procedimento preciso tramite un semplice how-to.
Quando aggiornare PHP?
Come per ogni software, PHP ha un ciclo di vita a cui deve attenersi per continuare ad apportare miglioramenti e avanzare nello sviluppo. Ogni rilascio principale di PHP e’ in genere pienamente supportata per due anni. Durante questo periodo, i bug e i problemi di sicurezza vengono risolti e corretti regolarmente. e’ garantito un terzo anno di supporto, solo per quello che riguarda la sicurezza del linguaggio e non delle prestazioni.
Versioni PHP supportate
Ad oggi (estate 2020), chiunque esegua una versione di PHP 7.1 o inferiore non usufruisce piu’ del supporto di sicurezza ed e’ esposto a vulnerabilita’ che non verranno risolte. Secondo la pagina ufficiale di WordPress Stats, al momento di scrivere questo articolo, oltre il 41% degli utenti WordPress utilizza ancora su PHP 7.1 o inferiore. Questo non e’ solo un problema dal punto di vista della sicurezza, ma e’ anche un ostacolo perche’ si sono ancora molti siti che non sfruttano ulteriori miglioramenti delle prestazioni introdotte con PHP 7.2 e successive.
Purtroppo, non tutti sono informati del pericolo e poiche’ aggiornare PHP e’ un’operazione che va fatta sul server e non dal sito stesso, una buona fetta degli utenti non sa nemmeno come procedere.
Come e’ visibile da questa immagine, le versioni attualmente supportate di PHP sono 3: la 7.2, il cui supporto di sicurezza terminera’ il 30 novembre 2020; la 7.3, supportata fino a dicembre 2021 e la 7.4 supportata fino al novembre 2022. Attenzione: negli ultimi 12 mesi di vita della versione, l’unico supporto garantito e’ quello di sicurezza.
Lentezza degli aggiornamenti
Molti sono i fattori che potrebbero influire una lenta adozione di versioni recenti del linguaggio, di seguito ne vediamo alcuni:
- 1. I proprietari dei siti, non essendo tecnici, non conoscono il linguaggio e non sanno di dover aggiornare PHP al fine di avere un sito sicuro e al passo coi tempi.
- 2. Chi utilizza temi o plugin personalizzati sul proprio sito, vuole essere sicuro che le nuove versioni PHP non abbiano problemi di retrocompatibilita’. Questi sviluppatori aspettano che vengano rilasciate le nuove linee guida per le versioni piu’ recenti, e solo dopo aver controllato i loro plugin e temi, adottano pienamente la nuova versione.
- 3. Alcuni host hanno paura ad aggiornare il linguaggio sul server perche’ potrebbe portare a un’ondata di ticket di supporto. Sempre di piu’, per fortuna, i provider mettono a disposizione la scelta della versione all’utente finale, come vedremo tra poco.
Onestamente, non capisco tutta questa paura nell’aggiornare PHP e tenere i propri sistemi ben funzionanti e al sicuro. Ritengo l’attesa abbastanza inutile e rischiosa.
Come aggiornare PHP sul pannello hosting di SOD
Per prima cosa, accedere al proprio pannello di controllo e dalla dashboard principale, scorrere in basso fino alla sezione del sito interessato. In fondo, cliccare sul tasto “Show More” per visualizzare le opzioni relative a all’hosting.
Tra le opzioni, cercare quella chiamata “PHP Settings”. Da notare che gia’ a fianco del nome e’ presente, tra parentesi, la versione in uso in quel momento dal server. Cliccare sull’opzione per approdare nella pagina delle impostazioni PHP.
All’interno della sezione PHP, e’ possibile, tramite un menu’ a tendina, modificare la versione in uso. Le versioni che non sono piu’ aggiornate, sono segnate come “outdated”, ma comunque selezionabili.
Nella pagina, oltre alla versione attiva sul server, e’ possibile modificare molte altre opzioni PHP relative alle performance e alla sicurezza. Per esempio il limite della memoria dedicata, il tempo massimo di esecuzione degli script, la posizione delle cartelle di scripting e cosi’ via.
Sono tutte funzionalita’ di cui l’utente medio non ha bisogno quotidianamente, ma il fatto che sia disponibile un controllo cosi’ approfondito delle opzioni PHP e’ un punto a favore per la duttilita’ del pannello di controllo e del servizio.
Assicuratevi che il vostro host utilizzi le ultime versioni di PHP
Come abbiamo visto, l’aggiornamento PHP alla versione supportata e’ un’operazione semplice da eseguire tramite l’apposito pannello del piano di hosting.
Qualche anno fa, un ottimo articolo intitolato “Whipping Your Host Into Shape” di Joost de Valk, entrava nel dettaglio di come il vero problema sia che i provider non adottano piu’ velocemente le versioni recenti e, anche se lo fanno, non incoraggiano gli utenti ad aggiornarsi. Sono passati anni da quell’articolo e mi auguro che il trend vada migliorando, e che sempre di piu’ si pensi alla sicurezza dei propri portali anche attraverso l’aggiornamento dell’infrastruttura che li ospita.
Tramite il pannello di controllo dei piani hosting di SOD, tenere aggiornato e sicuro il servizio e’ semplice, e aggiornare PHP e’ solo un esempio delle potenzialita’ del pannello stesso. Verifica tu stesso accedendo a una demo del servizio.
Link utili:
Gestire WordPress dal pannello hosting
Server hosting per sito web di SOD
Plesk CloudFlare estensione gratuita per gli utenti Webhosting
Condividi
RSS
Piu’ articoli…
- Unificare la piattaforma per la threat detection
- L’importanza del monitoring ICT
- I benefici SOAR: semplificare indagine e risposta
- Security Code Review: come funziona il servizio
- Automated Response Integration: le automazioni nel SOCaaS
- Coordinazione tra CTI e SOC: come alzare ulteriormente le difese
- Novità Cloud Server: internet ridondata
- Certificato di qualità per il SOCaaS di SOD
Categorie …
- Backup as a Service (24)
- Acronis Cloud Backup (18)
- Veeam Cloud Connect (3)
- Cloud CRM (1)
- Cloud Server/VPS (23)
- Conferenza Cloud (4)
- Log Management (2)
- Monitoraggio ICT (4)
- Novita' (15)
- ownCloud (7)
- Privacy (8)
- Secure Online Desktop (15)
- Security (157)
- Cyber Threat Intelligence (CTI) (5)
- Ethical Phishing (8)
- SOCaaS (49)
- Vulnerabilita' (84)
- Web Hosting (15)
Tags
CSIRT
- Risolte vulnerabilità in Google Chrome
(AL01/221130/CSIRT-ITA) Novembre 30, 2022Google ha rilasciato un aggiornamento per il browser Chrome per correggere 28 vulnerabilità di sicurezza, di cui 8 con gravità “alta”.
- Tecniche di infezione basate sull’uso di social network
(BL01/221129/CSIRT-ITA) Novembre 29, 2022Spear phishing tramite il social network LinkedIn.
- La Settimana Cibernetica del 27 novembre 2022 Novembre 28, 2022Scarica il riepilogo delle notizie pubblicate dallo CSIRT Italia 21 al 27 novembre 2022
- Tentativi di estorsione sfruttano finte vulnerabilità o compromissioni
(BL01/221125/CSIRT-ITA) Novembre 25, 2022Campagne di estorsione finalizzate alla richiesta di denaro utilizzano la minaccia di pubblicazione di dati aziendali sensibili nel caso non venga effettuato un pagamento in Bitcoin.
- Nuova versione di Google Chrome
(AL01/221125/CSIRT-ITA) - Aggiornamento Novembre 25, 2022Il team di Google ha rilasciato un aggiornamento di Chrome per Windows, MacOS e Linux che corregge una vulnerabilità di tipo 0-day.
- Rilevate vulnerabilità in Apache AirFlow
(AL01/221124/CSIRT-ITA) Novembre 24, 2022Rilevate vulnerabilità con gravità “critica” in Apache Airflow. Tali vulnerabilità, qualora sfruttate, potrebbero permettere ad un utente malintenzionato remoto l’esecuzione di codice arbitrario sui dispositivi interessati.
- Scam: campagna di phishing a tema corrispondenza
(BL01/221124/CSIRT-ITA) Novembre 24, 2022È stata recentemente rilevata da questo CSIRT una nuova ondata di campagne di phishing a tema corrispondenza, che sfrutta riferimenti a marchi noti operanti nel settore delle spedizioni.
- Aggiornamenti per prodotti Zyxel
(AL02/221123/CSIRT-ITA) Novembre 23, 2022Zyxel rilascia aggiornamenti di sicurezza per sanare una vulnerabilità nel router LTE3301-M209.
- Vulnerabilità in prodotti Solarwinds
(AL01/221123/CSIRT-ITA) Novembre 23, 2022Rilevate vulnerabilità di sicurezza, di cui 4 con gravità “alta”, nei prodotti Platform, Orion Platform e Serv-U di Solarwinds. Tali vulnerabilità, qualora sfruttate, potrebbero permettere l’esecuzione di comandi arbitrari e l’elevazione dei privilegi utente sui sistemi interessati.
- Risolte vulnerabilità su Zimbra Collaboration
(AL02/221122/CSIRT-ITA) Novembre 22, 2022Rilasciati aggiornamenti e mitigazioni per sanare alcune vulnerabilità riscontrate nel software Zimbra Collaboration.
Feed sconosciuto
Full Disclosure
- CyberDanube Security Research 20221124-0 | Authenticated Command Injection Hirschmann BAT-C2 Novembre 29, 2022Posted by Thomas Weber on Nov 29CyberDanube Security Research 20221124-0 ------------------------------------------------------------------------------- title| Authenticated Command Injection product| Hirschmann (Belden) BAT-C2 vulnerable version| 8.8.1.0R8 fixed version| 09.13.01.00R04 CVE number| CVE-2022-40282 impact| High ...
- Exploiting an N-day vBulletin PHP Object Injection Vulnerability Novembre 29, 2022Posted by Egidio Romano on Nov 29Hello list, Just wanted to share with you my latest blog post: http://karmainsecurity.com/exploiting-an-nday-vbulletin-php-object-injection Best regards, /EgiX
- Win32.Ransom.Conti / Crypto Logic Flaw Novembre 29, 2022Posted by malvuln on Nov 29Discovery / credits: Malvuln (John Page aka hyp3rlinx) (c) 2022 Original source: https://malvuln.com/advisory/99e55ce93392068c970384ab24a0e13d.txt Contact: malvuln13 () gmail com Media: twitter.com/malvuln Backup media: infosec.exchange/@malvuln Threat: Win32.Ransom.Conti Vulnerability: Crypto Logic Flaw Description: Conti ransomware FAILS to encrypt non PE files that have a ".exe" in the filename. Creating specially crafted file names...
- Ransomware Deception Tactics Part 1 Novembre 29, 2022Posted by malvuln on Nov 29Did you know? some Ransomware like CONTI and others will FAIL to encrypt non PE files that have a ".exe" in the filename. Test.exe.docx Test.exe.pdf Conti MD5: 9eb9197cd58f4417a27621c4e1b25a71 ATOMSILO MD5: 5559e9f5e1645f8554ea020a29a5a3ee
- Trojan.Win32.DarkNeuron.gen / Named Pipe Null DACL Novembre 29, 2022Posted by malvuln on Nov 29Discovery / credits: Malvuln (John Page aka hyp3rlinx) (c) 2022 Original source: https://malvuln.com/advisory/d891c9374ccb2a4cae2274170e8644d8.txt Contact: malvuln13 () gmail com Media: twitter.com/malvuln Backup media: infosec.exchange/@malvuln Threat: Trojan.Win32.DarkNeuron.gen Vulnerability: Named Pipe Null DACL Family: DarkNeuron (Turla Group) Type: PE32 MD5: d891c9374ccb2a4cae2274170e8644d8 Vuln ID: MVID-2022-0661 Disclosure: 11/24/2022...
- Backdoor.Win32.Autocrat.b / Weak Hardcoded Credentials Novembre 29, 2022Posted by malvuln on Nov 29Discovery / credits: Malvuln (John Page aka hyp3rlinx) (c) 2022 Original source: https://malvuln.com/advisory/4262a8b52b902aa2e6bf02a156d1b8d4.txt Contact: malvuln13 () gmail com Media: twitter.com/malvuln Backup media: infosec.exchange/@malvuln Threat: Backdoor.Win32.Autocrat.b Vulnerability: Weak Hardcoded Credentials Description: The malware is packed with PeCompact, listens on TCP port 8536 and requires authentication. However, the password...
- Backdoor.Win32.Serman.a / Unauthenticated Open Proxy Novembre 29, 2022Posted by malvuln on Nov 29Discovery / credits: Malvuln (John Page aka hyp3rlinx) (c) 2022 Original source: https://malvuln.com/advisory/f312e3a436995b86b205a1a37b1bf10f.txt Contact: malvuln13 () gmail com Media: twitter.com/malvuln Backup media: infosec.exchange/@malvuln Threat: Backdoor.Win32.Serman.a Vulnerability: Unauthenticated Open Proxy Family: Serman Type: PE32 MD5: f312e3a436995b86b205a1a37b1bf10f Vuln ID: MVID-2022-0659 Disclosure: 11/22/2022 Description: The...
- Open-Xchange Security Advisory 2022-11-24 Novembre 29, 2022Posted by Martin Heiland via Fulldisclosure on Nov 29Dear subscribers, we're sharing our latest advisory with you and like to thank everyone who contributed in finding and solving those vulnerabilities. Feel free to join our bug bounty programs for OX AppSuite, Dovecot and PowerDNS at HackerOne and soon at YesWeHack. Yours sincerely, Martin Heiland, Open-Xchange […]
- [CVE-2022-33942] Intel Data Center Manager Console <= 4.1.1.45749 ”UserMgmtHandler" Authentication Logic Error Leading to Authentication Bypass Novembre 29, 2022Posted by Julien Ahrens (RCE Security) on Nov 29RCE Security Advisory https://www.rcesecurity.com 1. ADVISORY INFORMATION ======================= Product: Intel Data Center Manager Vendor URL: https://www.intel.com/content/www/us/en/developer/tools/data-center-manager-console/overview.html Type: Authentication Bypass by Spoofing [CWE-290] Date found: 2022-06-01 Date published: 2022-11-23 CVSSv3 Score: 10.0 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H) CVE:...
- crashing potplayer again Novembre 29, 2022Posted by houjingyi on Nov 29I disclosured a crash in potplayer last year : https://seclists.org/fulldisclosure/2021/Mar/76 And I found a new one this year, this time is a mid file. Again I contacted Korea Internet & Security Agency(first-team () krcert or kr), they shared report to the onwer of the potplayer, Kakao Corp as they said. […]
Customers
Twitter FEED
Recent activity
-
SecureOnlineDesktop
Estimated reading time: 6 minutes L'impatto crescente delle minacce informatiche, su sistemi operativi privati op… https://t.co/FimxTS4o9G
-
SecureOnlineDesktop
Estimated reading time: 6 minutes The growing impact of cyber threats, on private or corporate operating systems… https://t.co/y6G6RYA9n1
-
SecureOnlineDesktop
Tempo di lettura stimato: 6 minuti Today we are talking about the CTI update of our services. Data security is… https://t.co/YAZkn7iFqa
-
SecureOnlineDesktop
Estimated reading time: 6 minutes Il tema della sicurezza delle informazioni è di grande attualità in questo peri… https://t.co/tfve5Kzr09
-
SecureOnlineDesktop
Estimated reading time: 6 minutes The issue of information security is very topical in this historical period ch… https://t.co/TP8gvdRcrF
Newsletter
Prodotti e Soluzioni
Collaborazioni
Modelli Cloud
News
- Unificare la piattaforma per la threat detection Maggio 23, 2022
- L’importanza del monitoring ICT Maggio 11, 2022
- I benefici SOAR: semplificare indagine e risposta Aprile 18, 2022
- Security Code Review: come funziona il servizio Aprile 13, 2022
- Automated Response Integration: le automazioni nel SOCaaS Aprile 11, 2022
Recensioni Google
Contatti
Copyright © 2011 Secure Online Desktop s.r.l. All Rights Reserved.
VAT: 07485920966 “Cloud Computing services - Software cloud - Cloud server - VPS” Terms of ServicePrivacy Policy
ISO Certifications