Vulnerabilità critiche in PHP: aggiornamenti urgenti per garantire la sicurezza dei siti web

Due vulnerabilità critiche sono state recentemente identificate nel linguaggio di programmazione PHP, potenzialmente in grado di consentire l’esecuzione remota di codice (RCE). In risposta, PHP ha rilasciato patch d’emergenza e ha esortato gli amministratori di sistema a procedere con aggiornamenti immediati delle installazioni vulnerabili.

Le vulnerabilità, classificate come CVE-2026-109618 e CVE-2026-109619, hanno ricevuto un punteggio di gravità di 9,2 su 10. La prima riguarda un bug nella gestione della memoria out-of-memory, mentre la seconda è relativa a un problema di use-after-free. Le correzioni sono incluse nelle versioni PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35, ora disponibili per il download, comprensive di sorgenti e binari per Windows.

Per precauzione, numerose organizzazioni e siti web in vari Paesi hanno deciso di disattivare temporaneamente pagine o interi siti per applicare le patch necessarie. Tra le misure adottate, il fornitore di servizi IT federale in Germania ha sospeso alcuni siti, mentre il ministero dell’Interno francese ha rimosso temporaneamente i siti delle amministrazioni locali. Anche il ministero degli Esteri del Belgio ha preso offline i propri siti a seguito di segnalazioni non confermate. Nei Paesi Bassi, il National Cyber Security Centre ha disattivato siti pubblici, inclusi quelli di porti, federazioni sportive e partiti politici, oltre a numerosi ospedali.

Segnalazioni indicano brevi interruzioni di siti governativi in Scozia e di un’azienda IT danese che gestisce una piattaforma per le comunicazioni scolastiche. Anche Wikipedia e il deposito di contenuti Wikimedia hanno subito temporanei black-out, ma sono stati successivamente ripristinati.

Attualmente, non si segnalano compromissioni diffuse confermate a causa di queste vulnerabilità; tuttavia, la potenziale portata del problema è significativa, con alcuni esperti che avvertono che una parte rilevante del web potrebbe essere interessata. Questo rende difficile stilare un elenco esaustivo dei siti coinvolti.

Gli esperti di sicurezza sottolineano l’urgenza di intervenire, affermando che le organizzazioni hanno una finestra limitata per applicare le correzioni e contenere il rischio. Le dipendenze da software open source, sebbene fondamentali per l’infrastruttura digitale, possono amplificare l’impatto delle vulnerabilità critiche, richiedendo risposte rapide e coordinate da parte delle istituzioni.

Gli amministratori di sistema sono pertanto invitati a verificare le versioni di PHP in uso e a installare le versioni aggiornate 8.5.12, 8.4.27, 8.3.36 o 8.2.35 per mitigare le vulnerabilità identificate e garantire la sicurezza dei propri sistemi.