Falle PHP e Brotli risolte
Forse l’ha letto nelle notizie: a ottobre, nel giro di pochi giorni, sono state scoperte diverse gravi falle di sicurezza in software utilizzati da gran parte dei siti web di tutto il mondo. Notizie di questo tipo preoccupano e molti si chiedono: anche il mio sito web è coinvolto?
La risposta breve: no, Lei è protetto. Abbiamo chiuso tutte e tre le falle sui nostri server di hosting, ogni volta già il giorno stesso in cui sono diventate note. Se ha un web hosting da noi, non deve fare nulla.
Falla di sicurezza: Un errore in un programma che permette a persone non autorizzate di fare qualcosa che non dovrebbe essere possibile. Si può immaginare come una finestra che si apre dall’esterno, anche se sembra chiusa.
Patch (aggiornamento): La correzione di una tale falla. Restando nell’immagine: una nuova serratura per la finestra. «Patchato» significa quindi che la correzione è installata e la finestra è di nuovo chiusa bene.
CVE: Sta per «Common Vulnerabilities and Exposures». Ogni falla nota pubblicamente riceve un numero univoco a livello mondiale, per esempio CVE-2026-109618. Funziona come un numero di pratica: così tutti i produttori e gli hoster sanno esattamente di quale falla si parla.
PHP: Il linguaggio di programmazione con cui funziona la maggior parte dei siti web, per esempio tutti i siti con WordPress, Joomla o Shopware. PHP gira sul server, i Suoi visitatori non ne vedono nulla.
Brotli: Un metodo per rendere i dati più piccoli, così che vengano trasmessi più velocemente. Simile a un file ZIP, solo invisibile, in sottofondo.
Le tre falle in sintesi
PHP2Shell: protetti il giorno stesso
Il 21 ottobre è stata pubblicata una falla particolarmente pericolosa in PHP, chiamata «PHP2Shell». Era così pericolosa soprattutto perché contemporaneamente è comparsa su Internet una guida pronta all’uso per gli attacchi. Per questo abbiamo schermato i nostri server nel giro di poche ore e poi aggiornato tutte le versioni di PHP a una versione corretta.
Se quel giorno ha notato qualcosa: per protezione, il caricamento di file sui siti web e l’accesso a Plesk (la Sua interfaccia di gestione) sono stati limitati per alcune ore. Dal 22 ottobre tutto funziona di nuovo come di consueto.
Un’indicazione per i siti web con versioni di PHP più vecchie (dalla 5.6 alla 8.1): gli sviluppatori di PHP non forniscono più correzioni per queste versioni. Affinché il Suo sito web resti comunque sicuro, da noi queste versioni funzionano ora in una versione che continua a ricevere aggiornamenti di sicurezza. Per Lei non cambia nulla, solo il nome della versione PHP in Plesk può apparire leggermente diverso. Se sta comunque lavorando al Suo sito web, conviene passare a PHP 8.3 o successivo.
Indicatore di upload disattivato per precauzione
Due giorni dopo, il 23 ottobre, è stato reso noto un secondo errore in PHP. Si trova in una piccola funzione aggiuntiva usata raramente, che può segnalare a che punto è il caricamento di un file. Per questo errore non esiste ancora una correzione. Abbiamo quindi semplicemente disattivato questa funzione aggiuntiva.
Il caricamento di file in sé funziona del tutto normalmente. Quasi tutti i siti web mostrano la barra di avanzamento in un altro modo e non noteranno nulla. Non appena sarà disponibile la correzione, riattiveremo la funzione.
Brotli: tutto aggiornato
Il 26 ottobre è seguita una falla in Brotli, il metodo per ridurre le dimensioni dei dati. I normali siti web con WordPress e simili non erano quasi coinvolti, si trattava piuttosto di applicazioni web programmate con Node.js o .NET. Abbiamo aggiornato tutti i programmi interessati sui nostri server. Inoltre i nostri server respingono le richieste sospette impacchettate con Brotli. Un normale browser non invia mai nulla di simile, quindi i Suoi visitatori non noteranno nulla.
Solo se gestisce una propria applicazione web: le versioni molto vecchie (Node.js 21 e precedenti, .NET 7 e precedenti) non sono più mantenute dai rispettivi produttori e non riceveranno una correzione. In questo caso La preghiamo di passare a una versione attuale in Plesk.
Server proprio? Allora tocca a Lei
Se ha un proprio server da noi (root server o server virtuale), lo gestisce in autonomia. Lì dovrebbe installare gli aggiornamenti più recenti. Preferisce affidare questo compito a noi? Allora apra un ticket per il Suo server nell’area clienti su https://admin.firestorm.ch e scelga il riquadro «Upgrade». Il servizio è a pagamento, il costo Le viene mostrato direttamente durante la creazione del ticket.
Continuiamo a vigilare
Controlliamo in modo continuo e automatico i nuovi avvisi di sicurezza, giorno e notte. Se diventa nota una falla che potrebbe riguardare il Suo sito web, interveniamo subito. Così Lei può occuparsi della Sua attività e noi della sicurezza.
