Corrette due vulnerabilità critiche in PHP, rilevati i primi attacchi
Gli sviluppatori di PHP hanno rilasciato in via d’urgenza le correzioni per due vulnerabilità critiche, valutate ciascuna 9,2 su 10. Questi errori consentono ad aggressori remoti di eseguire codice arbitrario su un server senza alcuna autenticazione. I specialisti di Cloudflare hanno già individuato i primi tentativi di sfruttamento.
Gli aggiornamenti sono stati pubblicati il 21 ottobre: si tratta delle versioni PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12. Il ramo 8.1 e quelli precedenti non ricevono più il supporto standard del progetto, ma per le versioni 7.4, 8.0 e 8.1 sono state pubblicate correzioni separate del codice sorgente. Alcuni fornitori di software server offrono inoltre propri aggiornamenti di sicurezza.
La prima vulnerabilità, CVE-2026-109618, è causata dal danneggiamento della memoria in condizioni di esaurimento delle risorse. La seconda, CVE-2026-109619, permette di accedere a un’area di memoria liberata dopo l’elaborazione della richiesta precedente. Entrambi gli errori possono portare all’esecuzione di codice con i privilegi del processo PHP e alla compromissione dei dati ospitati sul server.
Secondo gli sviluppatori, il rischio maggiore riguarda i server Apache con il modulo mod_php. L’attacco è possibile senza autenticazione e richiede una sola richiesta; il codice dannoso può inoltre attivarsi ancora prima dell’avvio del sito stesso.
La portata della minaccia è rilevante: secondo W3Techs, PHP è utilizzato sul 69,3% dei siti per i quali è stato possibile determinare il linguaggio lato server. Tra questi figurano WordPress, Drupal, Joomla e Magento. Poiché le vulnerabilità si trovano direttamente in PHP, l’aggiornamento del sistema di gestione dei contenuti non risolve il problema.
Le informazioni sugli errori sono diventate pubbliche prima della data di divulgazione prevista. Cloudflare ha aggiunto regole di protezione supplementari, sottolineando però che non sostituiscono l’installazione delle correzioni di PHP.
Si raccomanda agli amministratori di aggiornare PHP senza indugio. Se ciò non è possibile, il CERT-EU consiglia di isolare temporaneamente dalla rete le applicazioni vulnerabili. Ulteriori misure di protezione possono ridurre il rischio di singoli attacchi, ma non garantiscono la sicurezza del server.