Vulnerabilità critiche in PHP: aggiornamenti urgenti e precauzioni globali

Due vulnerabilità critiche sono state recentemente scoperte nel linguaggio di programmazione PHP, potenzialmente in grado di consentire l’esecuzione remota di codice (RCE). In risposta a questa minaccia, il team di PHP ha rilasciato patch d’emergenza, invitando gli amministratori di sistema a procedere con aggiornamenti immediati delle installazioni vulnerabili.

Le vulnerabilità, identificate come CVE-2026-109618 e CVE-2026-109619, sono state classificate con un punteggio di gravità di 9,2 su 10. Il primo problema riguarda un bug nella gestione della memoria out-of-memory, mentre il secondo è legato a un errore di tipo use-after-free. Le correzioni sono incluse nelle versioni PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35, tutte disponibili sulle pagine ufficiali di download di PHP, complete di sorgenti e binari per Windows.

In risposta a queste vulnerabilità, numerose organizzazioni e siti web in vari Paesi hanno deciso di disattivare temporaneamente pagine o interi siti per implementare le patch necessarie. Tra le azioni preventive, il fornitore di servizi IT federale in Germania ha sospeso alcuni siti, mentre il ministero dell’Interno francese ha rimosso temporaneamente i siti di amministrazioni locali. Anche il ministero degli Esteri del Belgio ha preso offline i propri siti a seguito di segnalazioni non confermate. Nei Paesi Bassi, il National Cyber Security Centre ha disattivato siti pubblici, inclusi quelli di porti, federazioni sportive, partiti politici e numerosi ospedali.

Segnalazioni recenti indicano brevi interruzioni di siti governativi in Scozia e di un’azienda IT danese che gestisce una piattaforma per le comunicazioni scolastiche. Anche Wikipedia e il deposito di contenuti Wikimedia hanno subito temporanei black-out, successivamente risolti.

Attualmente, non ci sono conferme di compromissioni diffuse dovute a queste vulnerabilità; tuttavia, la potenziale portata del problema è significativa. Alcuni esperti avvertono che una parte rilevante del web potrebbe essere interessata, rendendo difficile l’identificazione di tutti i siti coinvolti.

Gli esperti di sicurezza sottolineano l’urgenza di un intervento tempestivo. Rappresentanti del settore avvertono che le organizzazioni hanno una finestra limitata per applicare le correzioni, identificare la superficie d’attacco e contenere i rischi. Inoltre, si evidenzia come le dipendenze da software open source, sebbene fondamentali per l’infrastruttura digitale, possano amplificare l’impatto di vulnerabilità critiche, richiedendo risposte rapide e coordinate.

Gli amministratori di sistema sono quindi esortati a verificare le versioni PHP attualmente in uso e ad installare le versioni 8.5.12, 8.4.27, 8.3.36 o 8.2.35 per mitigare le vulnerabilità identificate.