Vulnerabilità critiche in PHP: patch d’emergenza e misure di sicurezza globali
In Breve
- Quali vulnerabilità sono state scoperte in PHP?
- Due vulnerabilità critiche, CVE-2026-109618 e CVE-2026-109619, che possono consentire l'esecuzione remota di codice.
- Qual è il punteggio di gravità delle vulnerabilità?
- Entrambe le vulnerabilità hanno un punteggio di gravità di 9,2 su 10.
- Quali misure sono state adottate a livello globale?
- Numerosi siti web hanno temporaneamente disattivato pagine per applicare le patch di sicurezza.
Due vulnerabilità critiche sono state recentemente scoperte nel linguaggio di programmazione PHP, potenzialmente in grado di consentire l’esecuzione remota di codice (RCE). In risposta a questa grave minaccia, il team di PHP ha rilasciato patch d’emergenza, invitando gli amministratori di sistema a procedere con aggiornamenti immediati delle loro installazioni.
Le vulnerabilità sono identificate con i codici CVE-2026-109618 e CVE-2026-109619, entrambe con un punteggio di gravità di 9,2 su 10. Le correzioni sono incluse nelle versioni PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35, disponibili per il download sul sito ufficiale di PHP, comprensive di sorgenti e binari per Windows.
In seguito alla scoperta di queste vulnerabilità, numerose organizzazioni e siti web in vari Paesi hanno adottato misure preventive, disattivando temporaneamente pagine o interi siti per applicare le patch necessarie. Tra le azioni intraprese, il fornitore di servizi IT federale in Germania ha sospeso alcuni siti, mentre il ministero dell’Interno francese ha rimosso temporaneamente i siti di amministrazioni locali. Anche il ministero degli Esteri del Belgio ha preso offline i propri siti a causa di segnalazioni non confermate. Nei Paesi Bassi, il National Cyber Security Centre ha disattivato siti pubblici, inclusi quelli di porti, federazioni sportive, partiti politici e numerosi ospedali.
Segnalazioni indicano brevi interruzioni di siti governativi in Scozia e di un’azienda IT danese che gestisce una piattaforma per le comunicazioni scolastiche, oltre a temporanei blackout di Wikipedia e del deposito di contenuti Wikimedia, che sono stati poi ripristinati.
Attualmente, non ci sono conferme di compromissioni diffuse legate a queste vulnerabilità, ma la portata potenziale del problema è significativa, con alcuni esperti che avvertono che una parte rilevante del web potrebbe essere interessata. Questo rende difficile stilare un elenco esaustivo dei siti coinvolti.
Gli esperti di sicurezza avvertono sull’urgenza di intervenire: le organizzazioni hanno una finestra limitata per applicare le correzioni, identificare la superficie d’attacco e contenere il rischio. Inoltre, viene sottolineato come le dipendenze da software open source, pur essendo fondamentali per l’infrastruttura digitale, possano amplificare l’impatto di vulnerabilità critiche, richiedendo risposte rapide e coordinate.
Per mitigare i rischi, gli amministratori di sistema devono verificare le versioni di PHP in uso e installare le versioni aggiornate 8.5.12, 8.4.27, 8.3.36 o 8.2.35.
