Le vulnerabilità PHP provocano chiusure di siti web a livello globale

La PHP Foundation ha annunciato le patch per CVE-2026-109618 e CVE-2026-109619 mercoledì. Le vulnerabilità potrebbero consentire agli aggressori di prendere il controllo remoto dei server. Le patch sono state rilasciate prima delle 10 a.m. ET. La PHP Foundation ha sottolineato che l'aggiornamento è l'unica scelta sicura.

I governi e i principali siti web hanno chiuso i siti per prevenire lo sfruttamento. La Australian Signals Directorate, la prefettura di polizia francese, il servizio IT del governo tedesco, il Ministero degli Affari Esteri belga, l'agenzia di sicurezza cibernetica olandese, l'Agenzia Nazionale di Cartografia finlandese e altri hanno sospeso i siti. La National Security Agency degli Stati Uniti ha avvertito che le vulnerabilità potrebbero fornire accesso diretto ai sistemi di file o ai database. Il National Cyber Security Centre del Regno Unito ha consigliato di verificare la presenza di backdoor.

Il CTO di Cloudflare, Dane Knecht, ha affermato che si stavano verificando attacchi precoci. Cloudflare ha aggiornato le regole del firewall come misura provvisoria. Le vulnerabilità sono state segnalate per la prima volta dalle società di sicurezza Calif e Wiz, che hanno utilizzato strumenti AI.

PHP alimenta circa il 75% dei siti web identificabili. Il linguaggio è software libero, open-source e mantenuto da volontari. WordPress, Wikipedia, Slack e Magento di Adobe sono costruiti su PHP.

Le vulnerabilità interessano tutte le installazioni PHP dalla versione 5 in poi, anche se solo PHP 8.2+ riceve supporto ufficiale. Le versioni legacy di PHP possono ancora essere vulnerabili se non vengono patchate.