Vulnerabilità critiche in PHP: patch d’emergenza e precauzioni globali

Due vulnerabilità critiche sono state recentemente identificate nel linguaggio di programmazione PHP, potenzialmente in grado di consentire l’esecuzione remota di codice (RCE). In risposta a questa minaccia, PHP ha rilasciato patch d’emergenza, esortando gli amministratori di sistema a procedere con l’aggiornamento immediato delle installazioni vulnerabili.

Le vulnerabilità, catalogate come CVE-2026-109618 e CVE-2026-109619, presentano un punteggio di gravità di 9,2 su 10, evidenziando la loro potenziale pericolosità. Le correzioni sono incluse nelle versioni PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35, tutte disponibili per il download sul sito ufficiale di PHP, con sorgenti e binari compatibili con Windows.

Per precauzione, diverse organizzazioni e siti web in vari Paesi hanno temporaneamente disattivato pagine o interi siti per applicare le necessarie patch. Tra le misure adottate, il fornitore di servizi IT federale in Germania ha sospeso alcuni siti, mentre il ministero dell’Interno francese ha rimosso temporaneamente i siti di amministrazioni locali. Anche il ministero degli Esteri del Belgio ha preso offline i propri siti a causa di segnalazioni non confermate. Nei Paesi Bassi, il National Cyber Security Centre ha disattivato siti pubblici, inclusi quelli di porti, federazioni sportive e partiti politici, oltre a numerosi ospedali. Si segnalano anche brevi interruzioni di siti governativi in Scozia e di un’azienda IT danese che gestisce una piattaforma per le comunicazioni scolastiche, nonché temporanei black-out di Wikipedia e del deposito di contenuti Wikimedia, che sono stati successivamente ripristinati.

Al momento non risultano compromissioni diffuse confermate legate a queste vulnerabilità; tuttavia, la portata potenziale del problema è ampia. Alcuni esperti avvertono che una parte significativa del web potrebbe essere colpita, rendendo difficile stilare un elenco completo dei siti interessati.

Gli esperti di sicurezza sottolineano l’urgenza di intervenire. Rappresentanti del settore avvertono che le organizzazioni hanno una finestra limitata per applicare le correzioni, identificare la superficie d’attacco e contenere il rischio. Inoltre, si evidenzia come le dipendenze da software open source, pur essendo fondamentali per l’infrastruttura digitale, possano amplificare l’impatto di vulnerabilità critiche, richiedendo risposte rapide e coordinate.

È fondamentale che gli amministratori verifichino le versioni di PHP in uso e installino le versioni 8.5.12, 8.4.27, 8.3.36 o 8.2.35 per mitigare le vulnerabilità identificate.