PHP, aggiornamento di sicurezza critico: cosa fare su aaPanel e sul proprio server

Il team di aaPanel ha pubblicato un avviso relativo a due vulnerabilità critiche di PHP, invitando gli amministratori a installare gli aggiornamenti di sicurezza disponibili. Il problema riguarda diverse versioni di PHP utilizzate sui server Linux, compresi quelli che ospitano siti WordPress.

Le vulnerabilità sono identificate dai codici CVE-2026-109618 e CVE-2026-109619 e hanno un punteggio di gravità CVSS pari a 9,2 su 10. Per chi gestisce un VPS, è quindi importante verificare la versione di PHP installata e applicare le correzioni senza rimandare.

Quali rischi comportano le vulnerabilità PHP

Secondo l’avviso pubblicato sul forum ufficiale di aaPanel, i due problemi riguardano condizioni interne di PHP che, in determinate circostanze, possono aprire la strada all’esecuzione di codice da remoto.

In termini semplici, un attaccante potrebbe tentare di sfruttare queste vulnerabilità per eseguire operazioni sul server attraverso una richiesta appositamente costruita, se sono presenti le condizioni necessarie. Non significa che tutti i server siano automaticamente compromessi, ma che utilizzare una versione vulnerabile può esporli a rischi importanti.

Le correzioni sono state rese disponibili per diverse versioni, comprese alcune release meno recenti. aaPanel ha inoltre comunicato di aver aggiunto aggiornamenti corretti per PHP 7.4, 8.0 e 8.1. PHP 8.5 novità e differenze rispetto a PHP 8.4

Quali versioni di PHP bisogna aggiornare

L’avviso indica queste versioni corrette:

Leggi anche: Server Dedicati vs. VPS: Quale Soluzione di Hosting è Giusta per Te?

Per PHP 7.0, 7.1, 7.2 e 7.3, aaPanel segnala anche build con correzioni specifiche. Si tratta però di versioni obsolete, per le quali è consigliabile pianificare il passaggio a una release supportata.

Attenzione: controllare soltanto la versione di PHP utilizzata da WordPress non è sempre sufficiente. Sullo stesso VPS potrebbero essere installate più versioni, utilizzate da siti differenti. Conviene passare a PHP 8.4 con WordPress? È sicuro aggiornare a PHP 8.4?

Come aggiornare PHP su aaPanel

La procedura indicata dal team è relativamente semplice:

Se sono presenti più versioni di PHP, verifica e aggiorna ciascuna installazione utilizzata.

Prima di procedere, crea uno snapshot del VPS e un backup dei siti e dei database. Durante l’aggiornamento, PHP potrebbe riavviarsi e provocare una breve interruzione dei servizi. È preferibile eseguire l’operazione in un momento di scarso traffico e verificare successivamente che siti, plugin e applicazioni funzionino correttamente.

Chi utilizza OpenLiteSpeed deve fare attenzione

Chi gestisce il server con OpenLiteSpeed deve verificare anche la versione di PHP distribuita tramite il pacchetto LS-PHP. Per Debian e Ubuntu, aaPanel indica questi comandi da eseguire nel terminale:

apt-get update

apt-get install --only-upgrade 'lsphp*' -y

Al termine, controlla dall’interfaccia di OpenLiteSpeed che la versione effettivamente utilizzata sia quella corretta e aggiornata. Non dare per scontato che aggiornare PHP da aaPanel aggiorni automaticamente ogni installazione LS-PHP.

Cosa fare se l’aggiornamento non riesce

Nel forum alcuni utenti hanno segnalato errori durante la compilazione e l’aggiornamento di PHP. In questi casi, è meglio non eseguire comandi casuali sul server di produzione: controlla i log, individua la causa e consulta l’assistenza di aaPanel se necessario.

L’avviso descrive anche alcune misure temporanee di mitigazione, ma queste non sostituiscono l’installazione delle correzioni. Modificare parametri di PHP senza comprenderne gli effetti può inoltre compromettere il funzionamento delle applicazioni.

Il consiglio è semplice: se utilizzi aaPanel per gestire un VPS con WordPress o altri siti web, verifica subito le versioni PHP installate, crea un backup e applica gli aggiornamenti disponibili. Un pannello aggiornato non basta se il motore PHP continua a utilizzare componenti vulnerabili.

Fonte: avviso ufficiale sul forum di aaPanel.