PHP prepara due patch d’emergenza per falle critiche

PHP si prepara a rilasciare due patch per vulnerabilità con gravità 9,2 su 10. Il rilascio è atteso tra poco più di 12 ore, ma i manutentori hanno avvertito che gli aggiornamenti potrebbero arrivare prima se emergessero nuovi dettagli o prove di sfruttamento attivo. L’articolo originale di Ars Technica riporta l’allerta rivolta agli amministratori di siti e applicazioni.

“Tutti gli utenti PHP sono invitati a prepararsi ora, così da poter effettuare l’aggiornamento non appena il rilascio sarà disponibile. Ci riserviamo il diritto di rilasciarlo prima qualora i dettagli di una delle due vulnerabilità diventassero pubblici o comparissero prove di sfruttamento attivo.” - Manutentori di PHP, team di manutenzione

Due vulnerabilità con gravità 9,2

Le due falle hanno ricevuto una valutazione di gravità 9,2 su una scala massima di 10. I manutentori PHP hanno invitato gli amministratori a preparare subito l’aggiornamento, mantenendo alta l’attenzione perché il rilascio può avvenire in qualsiasi momento.

L’avviso è stato pubblicato dopo la diffusione di presunti dettagli ancora non confermati. Le vulnerabilità sono identificate con i codici CVE-2026-109618 e CVE-2026-109619.

Un possibile strumento per l’esecuzione di codice

Il rapporto trapelato includeva un video di uno strumento chiamato PHP2Shell, mostrato mentre eseguiva codice su server che utilizzavano WordPress 7.1.3, MediaWiki 1.46.2, phpBB 3.3.17, Magento 2.4.9, Joomla 6.2.0, Laravel 13.36.0, Laravel 8.83.29, Symphony 8.1.9, Drupal 11.4.10 e WHMCS 9.0.9. I dettagli restano non verificati, mentre il video dello strumento è stato nuovamente diffuso online.

La società di sicurezza watchTowr ha dichiarato che il problema sembrerebbe riguardare ogni versione a partire da PHP 5, pubblicato nel 2004, e di aver verificato la realtà delle vulnerabilità. I ricercatori di Sansec hanno invece previsto l’avvio di attacchi su larga scala entro 15 minuti dalla disponibilità delle patch.

“Prevediamo che gli attacchi su larga scala inizino entro 15 minuti dal rilascio.” - Ricercatori di Sansec, società di sicurezza

Le attività richieste agli amministratori

La preparazione comprende l’identificazione dei responsabili della gestione di PHP, l’inventario di ogni applicazione sviluppata con il linguaggio e la pianificazione di una finestra di manutenzione dalle 14:00 UTC. Sono necessari anche backup dei file dei siti e dei database, oltre a piani alternativi nel caso di un rilascio anticipato.

Gli amministratori dovrebbero monitorare la pagina iniziale di PHP.net per eventuali comunicazioni dell’ultimo momento. Alcuni esperti suggeriscono inoltre di scollegare temporaneamente i sistemi non essenziali fino all’installazione delle correzioni.

Un impatto potenziale molto esteso

PHP è un linguaggio di scripting a codice aperto utilizzato per costruire siti dinamici e applicazioni Web. Oltre a WordPress, alimenta numerosi sistemi di gestione dei contenuti e strumenti interni; una stima citata nell’allerta indica 1,3 milioni di host connessi a Internet potenzialmente interessati.

Vulnerabilità con una gravità di questo livello possono provocare danni rilevanti su Internet. Fino alla disponibilità degli aggiornamenti, gli amministratori devono considerare possibile un rilascio in qualsiasi momento e mantenere attive le misure di sorveglianza.