Vulnerabilità critiche in PHP: aggiornamenti urgenti e precauzioni globali

Recentemente sono state identificate due vulnerabilità critiche nel linguaggio di programmazione PHP, capaci di consentire l’esecuzione remota di codice (RCE). In risposta a questa situazione, PHP ha rilasciato patch d’emergenza e gli amministratori di sistema sono stati esortati ad aggiornare immediatamente le loro installazioni.

Le vulnerabilità, classificate come CVE-2026-109618 e CVE-2026-109619, presentano un punteggio di gravità di 9,2 su 10. La prima riguarda un bug nella gestione della memoria out-of-memory, mentre la seconda è legata a un problema di use-after-free. I fix sono disponibili nelle versioni PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35, scaricabili dalle pagine ufficiali di PHP, che offrono sia sorgenti che binari per Windows.

Per precauzione, numerose organizzazioni e siti web in vari Paesi hanno temporaneamente disattivato pagine o interi siti per applicare le patch necessarie. Tra le azioni preventive, si segnala che il fornitore di servizi IT federale in Germania ha sospeso alcuni siti, mentre il ministero dell’Interno francese ha rimosso temporaneamente i siti di alcune amministrazioni locali. Anche il ministero degli Esteri del Belgio ha preso offline i propri siti a seguito di segnalazioni non confermate. Nei Paesi Bassi, il National Cyber Security Centre ha disattivato siti pubblici, inclusi quelli di porti, federazioni sportive e partiti politici, così come diversi ospedali. Sono state segnalate anche brevi interruzioni di siti governativi in Scozia e di un’azienda IT danese che gestisce una piattaforma per le comunicazioni scolastiche, oltre a temporanei black-out di Wikipedia e del deposito di contenuti Wikimedia, che sono stati poi ripristinati.

Attualmente non risultano compromissioni diffuse confermate legate a queste vulnerabilità; tuttavia, la portata potenziale del problema è ampia, con alcuni esperti che avvertono che una parte significativa del web potrebbe essere interessata, rendendo difficile stilare un elenco esaustivo dei siti coinvolti.

Gli esperti di sicurezza sottolineano l’urgenza di un intervento tempestivo. Rappresentanti del settore avvertono che le organizzazioni hanno una finestra limitata per applicare le correzioni, identificare la superficie d’attacco e contenere il rischio. Inoltre, si evidenzia come le dipendenze da software open source, sebbene fondamentali per l’infrastruttura digitale, possano amplificare l’impatto di vulnerabilità critiche, richiedendo risposte rapide e coordinate.

Gli amministratori di sistema sono quindi invitati a verificare le versioni di PHP in uso e a installare le versioni aggiornate 8.5.12, 8.4.27, 8.3.36 o 8.2.35 per mitigare le vulnerabilità identificate.