Vulnerabilità critiche in PHP: aggiornamenti urgenti e precauzioni globali

Recentemente, sono state scoperte due vulnerabilità critiche nel linguaggio di programmazione PHP, che possono consentire l’esecuzione remota di codice (RCE). In risposta a questa minaccia, PHP ha rilasciato patch d’emergenza, invitando gli amministratori di sistema a procedere con aggiornamenti immediati delle installazioni vulnerabili.

Le vulnerabilità, identificate come CVE-2026-109618 e CVE-2026-109619, hanno ricevuto un punteggio di gravità di 9,2 su 10. La prima riguarda un bug nella gestione della memoria out-of-memory, mentre la seconda è legata a un problema di uso dopo la liberazione della memoria (use-after-free). Le correzioni sono incluse nelle versioni PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35, disponibili per il download con sorgenti e binari per Windows.

Per precauzione, numerose organizzazioni e siti web in vari paesi hanno temporaneamente disattivato pagine o interi siti per applicare le patch necessarie. Tra le misure adottate, il fornitore di servizi IT federale in Germania ha sospeso alcuni siti, mentre il ministero dell’Interno francese ha rimosso temporaneamente quelli di amministrazioni locali. Anche il ministero degli Esteri del Belgio ha preso offline i propri siti a seguito di segnalazioni non confermate. Nei Paesi Bassi, il National Cyber Security Centre ha disattivato siti pubblici, compresi quelli di porti, federazioni sportive, partiti politici e vari ospedali. Inoltre, si sono registrate brevi interruzioni di siti governativi in Scozia e di una piattaforma IT danese per le comunicazioni scolastiche, oltre a temporanei black-out di Wikipedia e del deposito di contenuti Wikimedia, che sono stati poi ripristinati.

Attualmente, non ci sono conferme di compromissioni diffuse attribuibili a queste vulnerabilità, ma la portata potenziale del problema è considerevole. Alcuni esperti avvertono che una parte significativa del web potrebbe essere interessata, rendendo difficile stilare un elenco completo dei siti coinvolti.

Gli esperti di sicurezza sottolineano l’urgenza di intervenire. Secondo rappresentanti del settore, le organizzazioni hanno una finestra limitata per applicare le correzioni, identificare la superficie d’attacco e contenere il rischio. Inoltre, le dipendenze da software open source, pur essendo fondamentali per l’infrastruttura digitale, possono amplificare l’impatto di vulnerabilità critiche, richiedendo risposte rapide e coordinate.

Gli amministratori di sistema sono quindi esortati a verificare le versioni di PHP in uso e a installare le versioni 8.5.12, 8.4.27, 8.3.36 o 8.2.35 per mitigare le vulnerabilità identificate.

Scritto da

Redazione

Tutti gli articoli