Chiunque abbia passato almeno un pomeriggio a combattere con un file di configurazione sa che la parola «emergenza» è l’ultima che vorresti leggere in una newsletter tecnica mentre cerchi di finire un progetto.
La notizia che arriva dai corridoide del web development è decisamente poco rilassante: i manutentori di PHP hanno avvisato che sono in arrivo due patch di sicurezza critiche, e il timing non è proprio il massimo. Non stiamo parlando del solito aggiornamento che aggiunge una feature carina o che rende il linguaggio un po’ più veloce, ma di interventi pesanti per tappare falle che potrebbero lasciare le porte aperte a chiunque voglia divertirsi con il vostro codice.
Il sospetto che circola tra i ricercatori è ancora in fase di conferma, ma si parla di un exploit chiamato «PHP2Shell» che permetterebbe l’esecuzione remota di codice (RCE) sui siti che girano su questa versione del linguaggio. Tradotto per chi non mastica exploit tutto il giorno: se non patchate, un malintenzionato potrebbe prendere il controllo del vostro server come se avesse le chiavi di casa vostra e il telecomando del cancello.
Per noi che amiamo l’open source e che spesso ci ritroviamo a gestire server che sono un mix di tecnologie di dieci anni fa e ultime novità, questa è la classica situazione in cui l’entusiasmo per l’innovazione deve fare un passo indietro rispetto alla pragmatica sopravvivenza digitale. Non è una questione di quanto sia ‘cool’ il nuovo framework che state usando, ma di quanto sia solida la base su cui poggia tutto il resto.
Certo, potremmo essere tentati di dire che è solo l’ennesimo allarmeing un mondo che si muove sempre più verso l’automazione, ma quando si parla di RCE, il discorso cambia. Non è una polemica contro il linguaggio in sé — PHP resta un pilastro fondamentale del web — ma un promemoria che la sicurezza non è un optional che puoi attivare quando hai tempo tra una riga di codice e l’altra.
Quindi, ecco il piano: non aspettate che la notizia diventi virale su Twitter o che i vostri log inizino a urlare. Tenete d’occhio i repository ufficiali, preparate l’ambiente di staging per i test e, quando le patch saranno rilasciate, applicatele con la stessa velocità con cui chiudete una finestra quando arriva un cliente non richiesto nel vostro laboratorio. Restate sintonizzati, perché se la situazione dovesse degenerare, saremo qui a capire come non far bruciare tutto il web.
Source: PHP warns it plans to release 2 emergency patches imminently