Gli sviluppatori di PHP hanno recentemente pubblicato aggiornamenti urgenti per due vulnerabilità critiche, avvertendo le organizzazioni di patchare immediatamente le proprie applicazioni o di prendere in considerazione la loro sospensione se esposte a tale rischio.
Le versioni PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35 risolvono i problemi identificati come CVE-2026-109618 e CVE-2026-109619, che possono consentire l’esecuzione di codice remoto non autenticato. Gli sviluppatori del progetto hanno esortato gli utenti ad aggiornare immediatamente.
Tutte le installazioni PHP che gestiscono richieste web possono essere potenzialmente vulnerabili, inclusi i deployment che utilizzano PHP-FPM, mod_php di Apache, php-cgi, FrankenPHP e LiteSpeed. Secondo i sviluppatori, “consideriamo il rischio più alto per mod_php, dove un attacco può essere attivato da una richiesta non autenticata prima che qualsiasi codice dell’applicazione venga eseguito”.
Jake Knott, responsabile dell’intelligence sulle minacce presso watchTowr, ha dichiarato: “Come previsto, watchTowr Intel sta già osservando un’attività di sfruttamento in corso delle ultime vulnerabilità di PHP, con una varietà di PoC (Proof of Concept) vibecoded che stanno pervenendo ai nostri sensori con diversi User-Agent ‘php2shell’. Sebbene nessuno sia riuscito finora, non ci aspettiamo che questa situazione duri a lungo.”
In caso di impossibilità ad applicare immediatamente le patch, le organizzazioni dovrebbero considerare di isolare le applicazioni esposte a Internet dalle reti pubbliche finché non è disponibile una soluzione. Questo è quanto raccomandato da CERT-EU in un advisory pubblicato poco prima delle patch. Entrambe le vulnerabilità hanno un punteggio CVSS di 9.2.
Come misura precauzionale, diversi servizi governativi finlandesi e i siti web del parlamento olandese, delle autorità per la cybersicurezza e del regolatore per la protezione dei dati sono stati messi offline. Anche il gruppo di attivismo per la privacy noyb ha temporaneamente ritirato il proprio sito web.
PHP “potenzia i siti WordPress, Drupal, Joomla e Magento, piattaforme di hosting condiviso, pannelli di controllo e moltissimo software che non pubblicizza neanche di utilizzare PHP sotto il cofano”, ha osservato il fornitore di sicurezza informatica Huntress. Questo rende l’identificazione delle installazioni esposte un compito sostanzioso. “Il numero di posti dove è necessario cercare per identificare le versioni vulnerabili di PHP cresce rapidamente”, ha affermato John Hammond, senior principal security researcher di Huntress.
