In Breve
- Quali vulnerabilità sono state identificate in PHP?
- Due vulnerabilità critiche, CVE-2026-109618 e CVE-2026-109619, possono consentire l'esecuzione remota di codice.
- Quali misure sono state adottate in risposta a queste vulnerabilità?
- Numerosi siti web sono stati temporaneamente disattivati per applicare patch di emergenza.
- Qual è il punteggio di gravità delle vulnerabilità?
- Entrambe le vulnerabilità hanno un punteggio di gravità di 9,2 su 10.
Due vulnerabilità critiche sono state recentemente identificate nel linguaggio di programmazione PHP, potenzialmente in grado di consentire l’esecuzione remota di codice (RCE). In risposta a questa minaccia, PHP ha emesso patch d’emergenza, invitando gli amministratori di sistema a procedere con aggiornamenti immediati delle installazioni vulnerabili.
Le vulnerabilità, classificate come CVE-2026-109618 e CVE-2026-109619, sono state valutate con un punteggio di gravità di 9,2 su 10. La prima riguarda un bug nella gestione della memoria out-of-memory, mentre la seconda è legata a un problema di uso dopo liberazione (use-after-free). Le correzioni sono incluse nelle versioni PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35, disponibili per il download con sorgenti e binari per Windows.
Per precauzione, numerose organizzazioni e siti web in vari Paesi hanno temporaneamente disattivato pagine o interi siti per applicare le patch. Tra le misure preventive adottate, il fornitore di servizi IT federale in Germania ha sospeso alcuni siti, mentre il ministero dell’Interno francese ha rimosso temporaneamente i siti di amministrazioni locali. Anche il ministero degli Esteri del Belgio ha preso offline i propri siti a seguito di segnalazioni non confermate. Nei Paesi Bassi, il National Cyber Security Centre ha disattivato siti pubblici, inclusi porti, federazioni sportive, siti di partiti politici e numerosi ospedali. Sono state segnalate brevi interruzioni di siti governativi in Scozia, di un’azienda IT danese che gestisce una piattaforma per le comunicazioni scolastiche, e temporanei black-out di Wikipedia e del deposito di contenuti Wikimedia, che sono stati poi ripristinati.
Attualmente, non ci sono conferme di compromissioni diffuse dovute a queste vulnerabilità; tuttavia, la portata potenziale del problema è notevole. Alcuni esperti avvertono che una parte significativa del web potrebbe risultare interessata, rendendo difficile stilare un elenco esaustivo dei siti coinvolti.
Gli esperti di sicurezza sottolineano l’urgenza di un intervento tempestivo. Secondo rappresentanti del settore, le organizzazioni hanno una finestra limitata per applicare le correzioni e identificare la superficie d’attacco per contenere il rischio. Inoltre, si evidenzia come le dipendenze da software open source, pur essendo fondamentali per l’infrastruttura digitale, possano amplificare l’impatto di vulnerabilità critiche, richiedendo risposte rapide e coordinate.
Gli amministratori sono quindi invitati a verificare le versioni PHP in uso e ad installare le versioni 8.5.12, 8.4.27, 8.3.36 o 8.2.35 per mitigare le vulnerabilità identificate.
