In Breve
- Quali sono le vulnerabilità critiche in PHP?
- Due vulnerabilità, CVE-2026-109618 e CVE-2026-109619, possono consentire l'esecuzione remota di codice.
- Qual è il punteggio di gravità delle vulnerabilità?
- Entrambe le vulnerabilità hanno un punteggio di gravità di 9,2 su 10.
- Cosa devono fare gli amministratori di sistema?
- Devono aggiornare le loro installazioni a PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35.
Recentemente, sono state identificate due vulnerabilità critiche nel linguaggio di programmazione PHP, che potrebbero consentire l’esecuzione remota di codice (RCE). Di fronte a questa minaccia, PHP ha rilasciato patch d’emergenza e ha esortato gli amministratori di sistema a procedere con gli aggiornamenti delle installazioni interessate.
Le vulnerabilità, classificate come CVE-2026-109618 e CVE-2026-109619, presentano un punteggio di gravità di 9,2 su 10. La prima riguarda un bug nella gestione della memoria in condizioni di esaurimento, mentre la seconda è legata a un problema di uso dopo la liberazione della memoria. Le correzioni sono incluse nelle versioni PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35, disponibili per il download insieme a sorgenti e binari per Windows.
Per precauzione, molte organizzazioni e siti web in vari Paesi hanno temporaneamente disattivato pagine o interi siti per applicare le patch necessarie. Tra le misure preventive adottate, il fornitore di servizi IT federale in Germania ha sospeso alcuni siti, mentre il ministero dell’Interno francese ha rimosso temporaneamente siti di amministrazioni locali. Anche il ministero degli Esteri del Belgio ha preso offline i propri siti a seguito di segnalazioni non confermate. Nei Paesi Bassi, il National Cyber Security Centre ha disattivato siti pubblici, porti, federazioni sportive e persino alcuni ospedali. Segnalazioni indicano brevi interruzioni di siti governativi in Scozia e di un’azienda IT danese che gestisce una piattaforma per comunicazioni scolastiche, oltre a temporanei blackout di Wikipedia e del deposito di contenuti Wikimedia, successivamente ripristinati.
Attualmente, non ci sono conferme di compromissioni diffuse legate a queste vulnerabilità, ma la portata potenziale del problema è significativa. Alcuni esperti segnalano che una parte considerevole del web potrebbe essere interessata, rendendo difficile stilare un elenco completo dei siti coinvolti.
Gli esperti di sicurezza avvertono sull’urgenza di intervenire: le organizzazioni hanno una finestra limitata per applicare le correzioni, identificare la superficie d’attacco e contenere i rischi. Inoltre, si sottolinea come le dipendenze da software open source, sebbene fondamentali per l’infrastruttura digitale, possano amplificare l’impatto di vulnerabilità critiche e richiedere risposte rapide e coordinate.
Gli amministratori sono quindi invitati a verificare le versioni di PHP in uso e a installare le versioni 8.5.12, 8.4.27, 8.3.36 o 8.2.35 per mitigare le vulnerabilità identificate.
