"Non è un'esercitazione": Vulnerabilità critiche in PHP mettono in fiamme Internet
wired ·
La Fondazione PHP ha segnalato due vulnerabilità critiche, CVE-2026-109618 e CVE-2026-109619, che interessano tutte le installazioni di PHP destinate a servire richieste web dalla versione 5 in poi. Queste falle permettono ad attaccanti non autenticati di eseguire codice o leggere memoria sensibile contenente password e chiavi API sui server colpiti. Gli esperti di sicurezza avvertono che l'ampio utilizzo di PHP in infrastrutture essenziali come WordPress e Magento rende questi bug particolarmente pericolosi. Attacchi precoci erano già stati rilevati da Cloudflare prima del rilascio ufficiale della patch, alimentando timori riguardo alla rapida diffusione di malware con capacità di propagazione autonoma (wormable). Di conseguenza, diversi siti governativi in Finlandia, Francia e Paesi Bassi sono stati disattivati per precauzione. Il NCSC britannico e altre agenzie hanno esortato le organizzazioni ad applicare gli aggiornamenti immediatamente o a scollegare i sistemi se le patch non sono ancora disponibili. I ricercatori di Wiz, OpenAI e Calif hanno contribuito all'identificazione di queste problematiche, con alcune scoperte facilitate da strumenti di intelligenza artificiale. Le autorità sottolineano che l'aggiornamento è l'unica mitigazione sicura, poiché non esiste una soluzione alternativa completa per l'attuale panorama delle minacce.
wired