Vulnerabilità critiche in PHP: patch d’emergenza e precauzioni globali
Due vulnerabilità critiche in PHP hanno spinto a rilasciare patch d'emergenza, con numerosi siti web che adottano misure precauzionali.
In Breve
- Quali sono le vulnerabilità critiche in PHP?
- Le vulnerabilità critiche in PHP sono CVE-2026-109618 e CVE-2026-109619, con un punteggio di gravità di 9,2 su 10.
- Quali misure sono state adottate a livello globale?
- Numerosi siti web e organizzazioni hanno temporaneamente disattivato pagine per applicare le patch necessarie.
- Come possono gli amministratori mitigare le vulnerabilità?
- Gli amministratori devono aggiornare a PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35 per mitigare le vulnerabilità.
Due vulnerabilità critiche sono state recentemente identificate nel linguaggio di programmazione PHP, potenzialmente in grado di consentire l’esecuzione remota di codice (RCE). In risposta a questa minaccia, gli sviluppatori di PHP hanno rilasciato patch d’emergenza e hanno esortato gli amministratori di sistema a procedere con aggiornamenti immediati delle loro installazioni.
Le vulnerabilità sono state classificate come CVE-2026-109618, relativa a un bug nella gestione della memoria out-of-memory, e CVE-2026-109619, che riguarda un problema di use-after-free. Entrambe le vulnerabilità sono state valutate con un punteggio di gravità di 9,2 su 10, sottolineando la serietà della situazione. Le correzioni sono incluse nelle versioni PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35, disponibili per il download sia in formato sorgente che binario per Windows.
In seguito alla scoperta di queste vulnerabilità, numerose organizzazioni e siti web in diversi Paesi hanno deciso di disattivare temporaneamente pagine o interi siti per applicare le necessarie patch. Tra le misure preventive adottate, il fornitore di servizi IT federale in Germania ha sospeso alcuni siti, mentre il ministero dell’Interno francese ha rimosso temporaneamente i siti di alcune amministrazioni locali. Anche il ministero degli Esteri del Belgio ha preso offline i propri siti a causa di segnalazioni non confermate. Nei Paesi Bassi, il National Cyber Security Centre ha disattivato siti pubblici, inclusi quelli di porti, federazioni sportive e partiti politici, nonché numerosi ospedali. Segnalazioni recenti indicano anche brevi interruzioni di siti governativi in Scozia e di un’azienda IT danese che gestisce una piattaforma per le comunicazioni scolastiche, oltre a temporanei black-out su Wikipedia e il deposito di contenuti Wikimedia, che sono stati poi ripristinati.
Attualmente, non ci sono conferme di compromissioni diffuse dovute a queste vulnerabilità. Tuttavia, l’impatto potenziale è significativo, con alcuni esperti che avvertono che una parte rilevante del web potrebbe essere interessata. Questo rende difficile stilare un elenco esaustivo dei siti coinvolti.
Esperti di sicurezza avvertono sull’urgenza di intervenire. Secondo rappresentanti del settore, le organizzazioni hanno una finestra di tempo limitata per applicare le correzioni e identificare la superficie d’attacco per contenere il rischio. Inoltre, si sottolinea come le dipendenze da software open source, sebbene fondamentali per l’infrastruttura digitale, possano amplificare l’impatto di vulnerabilità critiche, richiedendo risposte rapide e coordinate.
Gli amministratori di sistema sono pertanto invitati a verificare le versioni di PHP in uso e a installare le versioni 8.5.12, 8.4.27, 8.3.36 o 8.2.35 per mitigare le vulnerabilità identificate.
