CakePHP: Ubuntu corregge una falla del 2016, ma serve il Legacy add-on

Canonical ha pubblicato il 3 novembre 2026 l'avviso USN-8978-1, che corregge una falla di IP spoofing in CakePHP su Ubuntu 16.04 LTS. Chi gestisce ancora applicazioni PHP basate su questo framework su server Xenial deve sapere una cosa prima di lanciare l'update: la patch non arriva più con un abbonamento Ubuntu Pro qualsiasi.

Il problema

Secondo l'avviso ufficiale, Dawid Golunski ha scoperto che CakePHP fidava in modo scorretto dell'header HTTP CLIENT-IP per determinare l'indirizzo IP del client, e un attaccante remoto poteva potenzialmente usare questo problema per falsificare il proprio indirizzo IP. È il CVE-2016-4793, una falla non proprio recente: ha una severità CVSS v3 di 7.5 (alta). Chi usa l'IP del client letto da CakePHP per whitelist, log di audit o controlli anti-abuso ha un problema concreto: l'header si falsifica con una richiesta HTTP qualsiasi.

Il pacchetto corretto è cakephp 2.8.0-1ubuntu0.1~esm1, disponibile per Ubuntu 16.04 LTS (xenial).

Il dettaglio che conta: niente ESM standard

Qui arriva la parte che l'avviso non scrive esplicitamente. Ubuntu 16.04 LTS è uscito dalla finestra ESM standard di Ubuntu Pro ad aprile 2026: a partire dal 30 aprile 2026 la copertura ESM decennale per Ubuntu 16.04 LTS, sotto Ubuntu Pro, ha ufficialmente raggiunto la fine del supporto. Per continuare a ricevere patch come questa serve il gradino successivo: Canonical offre un'ulteriore copertura di cinque anni di manutenzione e supporto con l'add-on Legacy, sopra un abbonamento Ubuntu Pro attivo, che porta il ciclo di vita totale a 15 anni e assicura patch di sicurezza critiche fino al 2031.

In pratica: chi ha ancora server in produzione su 16.04 con CakePHP e un abbonamento Pro "base" non vedrà questo pacchetto arrivare da solo. Va verificato lo stato con sudo pro status --all e, se necessario, attivato l'add-on Legacy prima di pianificare l'update.

Chi deve preoccuparsene

Chi ha già migrato da tempo a release più recenti (18.04 e successive, dove CakePHP 2.x non è vulnerabile) non è toccato. Il problema riguarda solo chi tiene in produzione applicazioni legacy su Xenial, scenario non raro per gestionali interni o siti mai aggiornati dal 2016 in poi.