Le autorità di cybersicurezza hanno sollecitato il 22 ottobre i gestori di siti a proteggere i sistemi PHP, ampliando la risposta mondiale a due vulnerabilità critiche. Il centro nazionale neozelandese ha chiesto aggiornamenti immediati e più controlli sugli attacchi. L’allerta è successiva alle correzioni d’emergenza del 21 ottobre: un aggressore può sfruttare le falle per eseguire codice su un server senza autenticarsi.
Per il progetto PHP è a rischio ogni installazione che gestisce richieste web, comprese PHP-FPM e Apache con mod_php. La pericolosità è più alta per mod_php, dove è già stato dimostrato un attacco prima dell’esecuzione del codice applicativo. PHP genera pagine e gestisce attività sul server: l’esposizione dipende perciò dal software e dalla configurazione del servizio.
Il progetto ha pubblicato PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35 per le vulnerabilità CVE-2026-109618 e CVE-2026-109619. L’avviso descrive problemi nella gestione della memoria e nello stato interno che può persistere tra richieste. Per chi usa pacchetti dei distributori di sistemi operativi o di società di assistenza a lungo termine, la priorità è consultare tali fornitori sulle versioni corrette.
Secondo la Fondazione PHP, i primi segnali di un problema sono emersi dopo una verifica di sicurezza del 2024. Successive segnalazioni di Calif, OpenAI e Wiz ne hanno chiarito la gravità, rendendo la correzione la più alta priorità di sicurezza in agosto. La fondazione ha riconosciuto che risorse limitate e difficoltà nel scegliere una soluzione compatibile avevano rallentato le attività; è già in corso un cambiamento dei processi decisionali.
Il centro britannico di cybersicurezza ha chiesto di individuare PHP nelle infrastrutture, con priorità per i sistemi esposti a internet. Se non è possibile aggiornare o applicare rapidamente misure temporanee, le linee guida invitano a valutare la disconnessione. Così si riduce l’esposizione; un’interruzione però non è di per sé la prova che un sito sia già stato compromesso.
L’autorità neozelandese ha avvertito che una correzione non può annullare una compromissione già avvenuta. Anche le indicazioni britanniche chiedono verifiche su intrusioni e accessi nascosti quando non è possibile aggiornare o spegnere subito. Per entrambe le autorità il monitoraggio continuo è parte della risposta; quella britannica chiede inoltre più attenzione agli aggiornamenti dei prodotti e servizi di terzi che includono PHP.
Commenti