Vulnerabilità critiche in PHP: patch d’emergenza e precauzioni globali

Due vulnerabilità critiche nel linguaggio di programmazione PHP sono state recentemente identificate, consentendo l’esecuzione remota di codice (RCE). Le patch d’emergenza rilasciate hanno spinto gli amministratori di sistema a un aggiornamento immediato delle installazioni interessate.

Le vulnerabilità sono classificate come CVE-2026-109618, che riguarda un bug nella gestione della memoria out-of-memory, e CVE-2026-109619, legata a un problema di use-after-free. Entrambe le vulnerabilità hanno ricevuto un punteggio di gravità di 9,2 su 10. Le correzioni sono incluse nelle versioni PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35, disponibili per il download con sorgenti e binari per Windows.

In risposta a queste vulnerabilità, diverse organizzazioni e siti web in tutto il mondo hanno deciso di disattivare temporaneamente pagine o interi siti per applicare le patch necessarie. Tra le misure preventive adottate, il fornitore di servizi IT federale in Germania ha sospeso alcuni siti, mentre il ministero dell’Interno francese ha rimosso temporaneamente i siti di amministrazioni locali. Anche il ministero degli Esteri del Belgio ha preso offline i propri siti a seguito di segnalazioni non confermate. Nei Paesi Bassi, il National Cyber Security Centre ha disattivato siti pubblici, porti, federazioni sportive e ospedali.

Segnalazioni indicano anche brevi interruzioni di siti governativi in Scozia e un’azienda IT danese che gestisce una piattaforma per le comunicazioni scolastiche. Sono stati registrati anche temporanei black-out di Wikipedia e del deposito di contenuti Wikimedia, che sono stati successivamente ripristinati.

Al momento, non si segnalano compromissioni diffuse confermate a causa delle vulnerabilità, ma la potenziale portata del problema è ampia. Alcuni esperti avvertono che una quota significativa del web potrebbe essere interessata, rendendo difficile stilare un elenco esaustivo dei siti coinvolti.

Gli esperti di sicurezza sottolineano l’urgenza di intervenire. Secondo rappresentanti del settore, le organizzazioni hanno una finestra limitata per applicare le correzioni, identificare la superficie d’attacco e contenere il rischio. Inoltre, le dipendenze da software open source, sebbene fondamentali per l’infrastruttura digitale, possono amplificare l’impatto di vulnerabilità critiche e richiedere risposte rapide e coordinate.

Gli amministratori di sistema sono quindi invitati a verificare le versioni PHP in uso e a installare i rilasci 8.5.12, 8.4.27, 8.3.36 o 8.2.35 per mitigare le vulnerabilità identificate.