Foto di Ben Griffiths.

Il team di sviluppo di PHP ha annunciato un rilascio straordinario di sicurezza per correggere due vulnerabilità critiche, entrambe classificate con un punteggio CVSS v4.0 pari a 9,2 su 10. La decisione di anticipare l'aggiornamento è arrivata dopo la diffusione pubblica di informazioni che avrebbero dovuto restare riservate fino alla pubblicazione ufficiale delle correzioni. L'annuncio rappresenta un evento insolito per l'ecosistema PHP. Invece di attendere il normale ciclo di aggiornamento, il team responsabile della sicurezza ha pubblicato un avviso preventivo invitando amministratori di sistema, fornitori di hosting e sviluppatori a prepararsi all'installazione immediata delle patch non appena disponibili.

Per il momento il progetto PHP ha scelto di non divulgare dettagli tecnici sulle falle. Non sono stati inizialmente comunicati i componenti coinvolti, i vettori di attacco, le versioni interessate né le specifiche versioni corrette. Questa scelta rientra nelle pratiche di divulgazione responsabile, con l'obiettivo di limitare il tempo disponibile agli attaccanti per sviluppare strumenti di compromissione prima che gli amministratori possano aggiornare i sistemi. Le vulnerabilità vengono comunemente identificate con i codici CVE-2026-109618 e CVE-2026-109619, informazioni emerse attraverso ricercatori di sicurezza e successivamente riportate da numerose fonti del settore. Sebbene il progetto PHP non abbia inizialmente associato pubblicamente questi identificativi all'avviso preventivo, diversi soggetti indipendenti hanno collegato le due falle proprio a tali CVE.

Le informazioni circolate finora indicano che entrambe le vulnerabilità potrebbero consentire l'esecuzione di codice da remoto. In altre parole, un aggressore potrebbe riuscire a eseguire istruzioni arbitrarie sul sistema bersaglio senza dover necessariamente disporre di accesso locale. Tuttavia, al momento dell'annuncio ufficiale, i dettagli tecnici completi e le modalità precise di sfruttamento non erano ancora stati pubblicati dal progetto PHP. Un elemento che ha contribuito ad aumentare l'attenzione attorno alla vicenda è stata la fuga di notizie avvenuta prima della scadenza dell'embargo coordinato. I ricercatori di watchTowr hanno confermato l'esistenza delle vulnerabilità e la loro gravità, sottolineando però l'impossibilità di divulgare ulteriori dettagli prima della disponibilità delle correzioni ufficiali. In un messaggio pubblicato online, il gruppo ha dichiarato: «Possiamo confermare che sono reali. Prendete la situazione seriamente e applicate le patch quando saranno disponibili». Secondo quanto riportato da diversi ricercatori e organismi di sicurezza informatica, le falle potrebbero interessare un intervallo molto ampio di versioni del linguaggio, potenzialmente a partire da PHP 5.

L'impatto potenziale della vicenda è particolarmente rilevante per via della diffusione di PHP nel panorama Web. Il linguaggio costituisce infatti la base tecnologica di numerosi sistemi di gestione dei contenuti, piattaforme di commercio elettronico, applicazioni aziendali e servizi personalizzati sviluppati negli ultimi vent'anni. Una vulnerabilità nel motore principale del linguaggio può quindi propagare il rischio a una vasta quantità di infrastrutture connesse a Internet. Un altro aspetto rilevante riguarda lo stato dello sfruttamento reale delle falle: al momento non risultano confermati attacchi attivi; allo stesso tempo, la pubblicazione prematura di alcune informazioni ha ridotto il margine temporale normalmente garantito dal processo di divulgazione coordinata, aumentando la pressione sugli amministratori affinché procedano rapidamente all'aggiornamento dei sistemi.

Articoli suggeriti:

L'IA costruisce i cloni opensource di SolidWorks e AutoCAD

La IA risolve centinaia di problemi, i matematici vogliono bandirla

La prima distribuzione Linux con IA integrata

L'IA entra nel mondo fisico: grazie a MHS può gestire laser, microscopi...

Il progetto PHP ha ribadito che ulteriori informazioni, comprese le versioni vulnerabili e quelle corrette, saranno state pubblicate contestualmente al rilascio delle patch. Fino a quel momento, l'indicazione principale rimaneva una sola: predisporre l'aggiornamento dei server nel più breve tempo possibile e monitorare gli avvisi ufficiali per procedere immediatamente all'installazione delle correzioni di sicurezza.

Sullo stesso tema:

Una libreria open source per aggiungere la IA ai siti web

Blockchain, Bitcoin, Smart Contract, NFT e Web 3.0

La calcolatrice di Windows adesso gira su Android, iOS e sul web

Il primo client BitTorrent per il web fa drizzare le antenne a Netflix