Vulnerabilità critiche in PHP: patch d’emergenza e precauzioni globali

Due vulnerabilità critiche sono state recentemente scoperte nel linguaggio di programmazione PHP, potenzialmente in grado di consentire l’esecuzione remota di codice (RCE). In risposta, il team di PHP ha rilasciato patch d’emergenza e ha esortato gli amministratori di sistema a effettuare aggiornamenti immediati.

Le vulnerabilità, classificate come CVE-2026-109618 e CVE-2026-109619, hanno ricevuto un punteggio di gravità di 9,2 su 10. La prima riguarda un bug nella gestione della memoria out-of-memory, mentre la seconda è legata a un problema di use-after-free. Le correzioni sono incluse nelle versioni PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35, disponibili per il download sui siti ufficiali di PHP, con sorgenti e binari per Windows.

Per precauzione, numerose organizzazioni e siti web in vari Paesi hanno temporaneamente disattivato pagine o interi siti per applicare le patch. Tra le misure preventive, il fornitore di servizi IT federale in Germania ha sospeso alcuni siti, mentre il ministero dell’Interno francese ha rimosso temporaneamente siti di amministrazioni locali. Anche il ministero degli Esteri del Belgio ha preso offline i propri siti a seguito di segnalazioni non confermate. Nei Paesi Bassi, il National Cyber Security Centre ha disattivato siti pubblici, inclusi quelli di porti, federazioni sportive e partiti politici, oltre a diversi ospedali.

Segnalazioni indicano brevi interruzioni di siti governativi in Scozia e di un’azienda IT danese che gestisce una piattaforma per le comunicazioni scolastiche. Anche Wikipedia e il deposito di contenuti Wikimedia hanno subito temporanei black-out, ma sono stati successivamente ripristinati.

Attualmente, non ci sono conferme di compromissioni diffuse legate a queste vulnerabilità; tuttavia, la potenziale portata del problema è significativa, con alcuni esperti che avvertono che una parte rilevante del web potrebbe essere a rischio, rendendo difficile stilare un elenco completo dei siti coinvolti.

Gli esperti di sicurezza sottolineano l’urgenza di intervenire. Rappresentanti del settore avvertono che le organizzazioni hanno una finestra limitata per applicare le correzioni, identificare la superficie d’attacco e contenere il rischio. Inoltre, si evidenzia come le dipendenze da software open source, sebbene fondamentali per l’infrastruttura digitale, possano amplificare l’impatto di vulnerabilità critiche, richiedendo risposte rapide e coordinate.

Gli amministratori di sistema sono quindi invitati a verificare le versioni di PHP in uso e ad installare le versioni 8.5.12, 8.4.27, 8.3.36 o 8.2.35 per mitigare le vulnerabilità identificate.