Google Cloud indica come interessate le versioni 5.4–8.5.11; le correzioni sono in 8.5.12, 8.4.27, 8.3.36 e 8.2.35. PHP 8.1 e precedenti sono fuori supporto.

La dipendenza invisibile

PHP può trovarsi in server, container, funzioni serverless e pannelli amministrativi.

Ambienti di test e vecchie immagini possono differire dalla produzione. Serve prima di tutto un inventario affidabile.

La patch non è un clic

Alcuni servizi gestiti aggiornano automaticamente; altri richiedono ricostruzione e nuovo rilascio.

Le distribuzioni Linux possono applicare backport mantenendo un numero di versione apparentemente vecchio: conta l’avviso del fornitore. Aggiornare WordPress non basta sempre.

Priorità all’esposizione

Vanno controllati prima i servizi Internet e quelli con dati sensibili. Occorre conservare i log, seguire le indicazioni dei fornitori e verificare il nuovo rilascio.

Un firewall applicativo non sostituisce la patch. I sistemi a fine vita richiedono migrazione o misure temporanee documentate.

Une alerte sur la dette technique

Le falle non dimostrano che ogni sito PHP sia compromesso.

Conclusion

Le falle non dimostrano che ogni sito PHP sia compromesso.