Vulnerabilità Critiche in PHP: Patch d’Emergenza e Sospensioni di Siti Web

Recentemente, sono state identificate due vulnerabilità critiche nel linguaggio di programmazione PHP, che possono consentire l’esecuzione remota di codice (RCE). In risposta a questa minaccia, PHP ha rilasciato patch d’emergenza, invitando gli amministratori di sistema a procedere con l’aggiornamento immediato delle installazioni interessate.

Le vulnerabilità sono classificate con i codici CVE-2026-109618 e CVE-2026-109619, rispettivamente legate a un bug nella gestione della memoria out-of-memory e a un problema di use-after-free. Entrambe le vulnerabilità hanno ricevuto un punteggio di gravità di 9,2 su 10, evidenziando la loro serietà. Le correzioni sono incluse nelle versioni PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35, disponibili per il download con sorgenti e binari per Windows.

Per precauzione, molte organizzazioni e siti web in diversi Paesi hanno temporaneamente disattivato pagine o interi siti per applicare le patch. Tra le misure adottate, il fornitore di servizi IT federale in Germania ha sospeso alcuni siti, mentre il ministero dell’Interno francese ha rimosso temporaneamente siti di amministrazioni locali. Anche il ministero degli Esteri del Belgio ha preso offline i propri siti a seguito di segnalazioni non confermate. Nei Paesi Bassi, il National Cyber Security Centre ha disattivato siti pubblici, porti, federazioni sportive e numerosi ospedali. Segnalazioni indicano anche brevi interruzioni di siti governativi in Scozia e di un’azienda IT danese che gestisce una piattaforma per le comunicazioni scolastiche, oltre a temporanei black-out di Wikipedia e del deposito di contenuti Wikimedia, che sono stati successivamente ripristinati.

Attualmente, non sono state confermate compromissioni diffuse imputabili a queste vulnerabilità; tuttavia, la portata potenziale del problema è ampia, con alcuni esperti che segnalano come una parte significativa del web potrebbe risultare interessata, rendendo difficile stilare un elenco esaustivo dei siti coinvolti.

Gli esperti di sicurezza avvertono dell’urgenza di intervenire: le organizzazioni hanno una finestra limitata per applicare le correzioni, identificare la superficie d’attacco e contenere il rischio. Altri osservatori mettono in evidenza come le dipendenze da software open source, pur essendo fondamentali per l’infrastruttura digitale, possano amplificare l’impatto di vulnerabilità critiche e richiedere risposte rapide e coordinate.

È fondamentale che gli amministratori verifichino le versioni di PHP in uso e installino le versioni 8.5.12, 8.4.27, 8.3.36 o 8.2.35 per mitigare le vulnerabilità identificate.