Vulnerabilità critiche in PHP: patch d’emergenza e precauzioni globali

Due vulnerabilità critiche sono state recentemente identificate in PHP, un linguaggio di programmazione ampiamente utilizzato per lo sviluppo web. Queste vulnerabilità, che possono consentire l’esecuzione remota di codice (RCE), hanno portato PHP a rilasciare patch d’emergenza. Gli amministratori di sistema sono fortemente invitati ad aggiornare le loro installazioni per garantire la sicurezza dei loro siti.

Le vulnerabilità sono classificate come CVE-2026-109618, relativa a un bug nella gestione della memoria out-of-memory, e CVE-2026-109619, che riguarda un problema di use-after-free. Entrambe le vulnerabilità hanno ricevuto un punteggio di gravità di 9,2 su 10, evidenziando l’urgenza di un intervento. I fix sono inclusi nelle versioni PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35, disponibili sulle pagine di download ufficiali di PHP, complete di sorgenti e binari per Windows.

In risposta a queste vulnerabilità, numerose organizzazioni e siti web in tutto il mondo hanno temporaneamente disattivato pagine o interi siti per applicare le patch necessarie. Tra le misure adottate, il fornitore di servizi IT federale in Germania ha sospeso alcuni siti, mentre il ministero dell’Interno francese ha rimosso temporaneamente i siti di amministrazioni locali. Anche il ministero degli Esteri del Belgio ha preso offline i propri siti, a seguito di segnalazioni non confermate. Nei Paesi Bassi, il National Cyber Security Centre ha disattivato siti pubblici, porti, federazioni sportive, siti di partiti politici e diversi ospedali. Segnalazioni indicano anche brevi interruzioni di siti governativi in Scozia e di un’azienda IT danese che gestisce una piattaforma per comunicazioni scolastiche, oltre a temporanei black-out di Wikipedia e del deposito di contenuti Wikimedia, che sono stati poi ripristinati.

Attualmente, non ci sono conferme di compromissioni diffuse dovute a queste vulnerabilità. Tuttavia, la portata potenziale del problema è vasta e si stima che una parte significativa del web potrebbe essere interessata, rendendo difficile stilare un elenco completo dei siti coinvolti.

Esperti di sicurezza avvertono dell’urgenza di un intervento. Secondo rappresentanti del settore, le organizzazioni hanno una finestra limitata per applicare le correzioni, identificare la superficie d’attacco e contenere il rischio. Inoltre, si sottolinea come le dipendenze da software open source, sebbene siano fondamentali per l’infrastruttura digitale, possano amplificare l’impatto di vulnerabilità critiche, richiedendo risposte rapide e coordinate.

Gli amministratori di sistema sono quindi invitati a verificare le versioni di PHP in uso e a installare le versioni 8.5.12, 8.4.27, 8.3.36 o 8.2.35 per mitigare le vulnerabilità identificate.