Vulnerabilità critiche in PHP: aggiornamenti urgenti e precauzioni globali

Recentemente, sono state scoperte due vulnerabilità critiche nel linguaggio di programmazione PHP, che potrebbero consentire l’esecuzione remota di codice (RCE). In risposta a questa minaccia, il team di PHP ha rilasciato patch d’emergenza e ha esortato gli amministratori di sistema a procedere con gli aggiornamenti delle installazioni vulnerabili.

Le vulnerabilità, identificate come CVE-2026-109618 e CVE-2026-109619, presentano un punteggio di gravità di 9,2 su 10. La prima riguarda un bug nella gestione della memoria out-of-memory, mentre la seconda è legata a un problema di tipo use-after-free. Le versioni corrette, PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35, sono già disponibili per il download, comprensive di sorgenti e binari per Windows.

In seguito alla scoperta di queste vulnerabilità, molte organizzazioni e siti web in vari Paesi hanno deciso di disattivare temporaneamente pagine o interi siti per applicare le necessarie patch. Tra i provvedimenti adottati, il fornitore di servizi IT federale in Germania ha sospeso alcuni siti, mentre il ministero dell’Interno francese ha rimosso temporaneamente i siti di amministrazioni locali. Anche il ministero degli Esteri del Belgio ha preso offline i propri siti a seguito di segnalazioni non confermate. Nei Paesi Bassi, il National Cyber Security Centre ha disattivato siti pubblici, inclusi quelli di porti, federazioni sportive e partiti politici, oltre a numerosi ospedali. Segnalazioni di brevi interruzioni sono arrivate anche da Scozia, Danimarca e da Wikipedia, che ha subito temporanei black-out.

Attualmente, non ci sono conferme di compromissioni diffuse legate a queste vulnerabilità. Tuttavia, la potenziale portata del problema è significativa, con alcuni esperti che avvertono che una parte rilevante del web potrebbe essere interessata, rendendo difficile stilare un elenco completo dei siti coinvolti.

Gli esperti di sicurezza avvertono dell’urgenza di intervenire. Secondo i rappresentanti del settore, le organizzazioni hanno una finestra temporale limitata per applicare le correzioni, identificare le superfici d’attacco e contenere i rischi. Inoltre, si sottolinea come le dipendenze da software open source, pur essendo fondamentali per l’infrastruttura digitale, possano amplificare l’impatto di vulnerabilità critiche, richiedendo risposte rapide e coordinate.

Per mitigare i rischi associati a queste vulnerabilità, gli amministratori di sistema devono verificare le versioni di PHP in uso e installare le versioni aggiornate 8.5.12, 8.4.27, 8.3.36 o 8.2.35.