Vulnerabilità critiche in PHP: aggiornamenti urgenti per proteggere i siti web

Due vulnerabilità critiche sono state recentemente identificate nel linguaggio di programmazione PHP, potenzialmente in grado di consentire l’esecuzione remota di codice (RCE). In risposta a questa minaccia, PHP ha rilasciato patch d’emergenza e gli amministratori di sistema sono stati esortati ad aggiornare immediatamente le loro installazioni.

Le vulnerabilità, classificate come CVE-2026-109618 e CVE-2026-109619, hanno ricevuto un punteggio di gravità di 9,2 su 10. Questi problemi riguardano rispettivamente un bug nella gestione della memoria out-of-memory e un errore di tipo use-after-free. Le correzioni sono incluse nelle versioni PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35, disponibili per il download con sorgenti e binari per Windows.

In risposta a questa situazione, numerose organizzazioni e siti web in vari Paesi hanno scelto di disattivare temporaneamente pagine o interi siti per applicare le patch necessarie. Tra le misure preventive adottate, il fornitore di servizi IT federale in Germania ha sospeso alcuni siti, mentre il ministero dell’Interno francese ha rimosso temporaneamente i siti di alcune amministrazioni locali. Anche il ministero degli Esteri del Belgio ha preso offline i propri siti a seguito di segnalazioni non confermate. Nei Paesi Bassi, il National Cyber Security Centre ha disattivato siti pubblici, inclusi quelli di porti, federazioni sportive e ospedali.

Segnalazioni indicano anche brevi interruzioni di siti governativi in Scozia e di un’azienda IT danese che gestisce una piattaforma per le comunicazioni scolastiche. Si sono verificati anche temporanei black-out di Wikipedia e del deposito di contenuti Wikimedia, che sono stati poi ripristinati.

Attualmente, non ci sono conferme di compromissioni diffuse legate a queste vulnerabilità, ma la portata potenziale del problema è ampia. Alcuni esperti avvertono che una parte significativa del web potrebbe essere interessata, rendendo difficile stilare un elenco esaustivo dei siti coinvolti.

Gli esperti di sicurezza sottolineano l’urgenza di un intervento rapido. Secondo rappresentanti del settore, le organizzazioni hanno una finestra limitata per applicare le correzioni, identificare la superficie d’attacco e contenere il rischio. Inoltre, le dipendenze da software open source, sebbene fondamentali per l’infrastruttura digitale, possono amplificare l’impatto di vulnerabilità critiche, richiedendo risposte rapide e coordinate.

Gli amministratori di sistema sono quindi invitati a verificare le versioni PHP in uso e a installare le versioni aggiornate 8.5.12, 8.4.27, 8.3.36 o 8.2.35 per mitigare le vulnerabilità identificate.