register_globals in OFF: Joomla rimproveva i provider

Joomla.it ha recentemente segnalato un articolo pubblicato da "Brad Baker", membro del Team di sviluppo del CMS e hoster australiano sponsorizzato da Joomla.org, intitolato "Hosting providers - Isn't IT time?".

Ma, "àˆ ormai tempo" di cosa? L'argomento centrale del post è l'utilizzo ancora diffuso della direttiva register_globals settata su ON nei PHP.ini degli spazi Web messi a disposizione da numerosi provider. Come è noto, register_globals crea all'avvio di uno script delle variabili globali tramite dati provenienti da querystring, form, cookies, sessioni, Web server e browser.

L'abilitazione di questa direttiva consente un accesso immediato alle variabili, ne conseguono seri rischi per le proprie applicazioni che vengono così esposte facilmente ad attacchi in caso di codici mal scritti.

Nonostante cià, molti hoster preferiscono ancora settare register_globals su ON, infatti sul Web girano tantissimi vecchi script che diversamente non potrebbero funzionare (a meno di correzioni che naturalmente in pochi hanno voglia di apportare).

A questo problema se ne aggiunge un altro, sempre segnalato da Baker: molti provider mettono a disposizione dei clienti hosting basati ancora su PHP 4; PHP 5 è ormai una versione collaudata (da anni) e presto vedrà  la luce la release numero 6 (nella quale la direttiva register_globals verrà  addirittura rimossa), perché rimanere ancorati a una distribuzione ormai datata e con molti limiti?

A partire dall'8 Agosto di quest'anno gli sviluppatori non garantiscono più il supporto per PHP 4, questo vuol dire che se dovesse essere rilavato qualche problema, anche grave, questo non verrà  corretto; per gli hoster è arrivato quindi il momento di ripulire dalle ragnatele i loro vecchi spazi Web.