In Breve
- Quali vulnerabilità sono state identificate in PHP?
- Due vulnerabilità critiche, CVE-2026-109618 e CVE-2026-109619, che consentono l'esecuzione remota di codice.
- Qual è la gravità di queste vulnerabilità?
- Entrambe le vulnerabilità hanno un punteggio di gravità di 9,2 su 10.
- Cosa devono fare gli amministratori di sistema?
- Devono aggiornare le loro installazioni a PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35.
Recentemente, sono state identificate due vulnerabilità critiche nel linguaggio di programmazione PHP, che potrebbero consentire l’esecuzione remota di codice (RCE). In risposta a queste minacce, PHP ha rilasciato patch d’emergenza, invitando gli amministratori di sistema a procedere con aggiornamenti immediati delle installazioni interessate.
Le vulnerabilità sono classificate come CVE-2026-109618, che riguarda un bug nella gestione della memoria out-of-memory, e CVE-2026-109619, relativa a un problema di use-after-free. Entrambe le vulnerabilità hanno ricevuto un punteggio di gravità pari a 9,2 su 10. Le correzioni sono incluse nelle versioni PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35, disponibili per il download con sorgenti e binari per Windows.
Per precauzione, numerose organizzazioni e siti web in vari Paesi hanno temporaneamente disattivato pagine o interi siti per applicare le patch necessarie. Tra le misure adottate, il fornitore di servizi IT federale in Germania ha sospeso alcuni siti, mentre il ministero dell’Interno francese ha rimosso temporaneamente siti di amministrazioni locali. Anche il ministero degli Esteri del Belgio ha preso offline i propri siti a seguito di segnalazioni non confermate. Nei Paesi Bassi, il National Cyber Security Centre ha disattivato siti pubblici, porti, federazioni sportive, siti di partiti politici e diversi ospedali. Sono state segnalate brevi interruzioni di siti governativi in Scozia, di un’azienda IT danese che gestisce una piattaforma per comunicazioni scolastiche e anche di Wikipedia e del deposito di contenuti Wikimedia, che sono stati poi ripristinati.
Attualmente, non sono state confermate compromissioni diffuse attribuibili a queste vulnerabilità, ma la potenziale portata del problema è significativa. Secondo alcune fonti, una parte rilevante del web potrebbe risultare interessata, rendendo difficile stilare un elenco esaustivo dei siti coinvolti.
Esperti di sicurezza hanno sottolineato l’urgenza di intervenire. Rappresentanti del settore avvertono che le organizzazioni hanno una finestra limitata per applicare le correzioni, identificare la superficie d’attacco e contenere i rischi. Inoltre, si evidenzia come le dipendenze da software open source, pur essendo fondamentali per l’infrastruttura digitale, possano amplificare l’impatto di vulnerabilità critiche, richiedendo risposte rapide e coordinate.
Gli amministratori sono quindi esortati a verificare le versioni PHP in uso e a installare le versioni 8.5.12, 8.4.27, 8.3.36 o 8.2.35 per mitigare le vulnerabilità identificate.
