Vulnerabilità critiche in PHP espongono i siti web al rischio di takeover
Le vulnerabilità critiche di PHP identificate come CVE-2026-109618 e CVE-2026-109619 potrebbero consentire agli autori di attacchi di assumere il pieno controllo dei web server interessati. PHP è un linguaggio di programmazione utilizzato per creare e gestire siti web, compresi quelli basati su WordPress, Drupal, Joomla e Magento. PHP ha pubblicato aggiornamenti di sicurezza di emergenza il 21 ottobre 2026, mentre KrebsOnSecurity ha riferito che quasi il 70% dei siti web deve aggiornare il proprio software di base. Gli esperti citati dalla pubblicazione hanno affermato che esistono già exploit funzionanti, ossia metodi di attacco pratici, e che le falle vengono sfruttate in the wild contro sistemi reali.
Entrambe le vulnerabilità possono consentire a un autore di attacchi di eseguire codice a sua scelta su un server vulnerabile, il sistema informatico che distribuisce un sito web ai visitatori. Questa capacità può fornire un ampio controllo sul sistema interessato, anziché l'accesso a una sola pagina o funzionalità. Reuters ha riferito che siti web governativi in Europa e altrove sono andati offline dopo la divulgazione delle vulnerabilità, indicando che gli effetti dell'interruzione erano già visibili anche al di fuori degli ambienti di ricerca sulla sicurezza.
Cloudflare ha dichiarato di aver rilevato attività di sfruttamento e di aver introdotto regole per il web application firewall alle 3:02 UTC. Un web application firewall esamina e filtra le richieste inviate ai siti web. Secondo Cloudflare, gli attacchi diretti contro le falle di PHP potrebbero causare denial of service, che rende non disponibile un sito web, remote code execution, che consente a un autore di attacchi di eseguire comandi da un'altra posizione, ed esposizione di dati. Le regole del firewall possono filtrare il traffico di attacco identificato, ma gli operatori devono comunque installare il software PHP corretto.
Il rapporto descrive CVE-2026-109618 e CVE-2026-109619 come zero-day vulnerabilities, ossia falle sfruttabili prima che sia pubblicamente disponibile una correzione. Interessano i web server che eseguono PHP 5.4 o versioni successive. Wiz ha dichiarato che ogni versione di PHP pubblicata nell'ultimo decennio è interessata da almeno uno dei due bug. PHP ha corretto le falle nelle versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Il SANS Internet Storm Center sta monitorando le principali piattaforme software mentre pubblicano i relativi aggiornamenti e Ubuntu ha già distribuito pacchetti PHP aggiornati.
La potenziale esposizione è insolitamente ampia. Censys, che monitora il software visibile sui sistemi connessi a Internet, ha dichiarato che una scansione recente ha rilevato circa 2,58 milioni di Internet-facing hosts, ossia sistemi raggiungibili direttamente tramite Internet, e 54,9 milioni di risorse web che eseguono PHP. Queste misurazioni mostrano la portata della diffusione di PHP, sebbene i dati descrivano i sistemi che utilizzano PHP e non rappresentino un conteggio confermato dei siti web attaccati con successo.
Wiz è stata una delle diverse organizzazioni a cui è stata attribuita la scoperta delle vulnerabilità. Prima della divulgazione pubblica, Wiz ha dichiarato di aver collaborato con il team di PHP, Calif e OpenAI per misurare la portata del problema, verificare le patch e coordinare la divulgazione. OpenAI ha partecipato alla ricerca e alle attività di contatto e ha descritto le falle come uno dei problemi di sicurezza più rilevanti degli ultimi tempi, a causa della loro gravità e dell'ampia diffusione di PHP.
Secondo Wiz, le debolezze sottostanti esistevano da decenni, ma dimostrare che potevano essere sfruttate richiedeva una sequenza di passaggi eccezionalmente complessa, vicina ai limiti pratici della ricerca umana. Wiz ha affermato che i frontier AI models, sistemi di intelligenza artificiale altamente avanzati, hanno ridotto sostanzialmente questo ostacolo e contribuito a trasformare una debolezza di lunga data in un exploit funzionante. Questo dettaglio è importante perché suggerisce che una falla possa rimanere nascosta per anni in un software maturo, mentre i progressi negli strumenti di ricerca rendono più semplice sviluppare un attacco pratico.
Wiz prevede che gli autori di attacchi tenteranno uno sfruttamento su vasta scala e installeranno backdoor o web shell. Una web shell è un pannello di controllo nascosto basato sul web che offre a un autore di attacchi l'accesso remoto a un sito infetto. I ricercatori hanno paragonato la probabile difficoltà nell'applicazione delle patch a Log4Shell, la grave vulnerabilità divulgata nel 2021 in Log4j, un componente Java utilizzato per registrare le attività del software. PHP è integrato in piattaforme cloud, società di hosting, content-delivery network e server gestiti in modo indipendente; ridurre l'esposizione richiede quindi interventi nell'intero ecosistema, anziché l'aggiornamento di una singola applicazione. Per i proprietari di siti WordPress che stanno valutando questo rischio, AEU Hosting offre un hosting WordPress gestito e protetto end to end.
I proprietari di siti web dovrebbero chiedere al proprio fornitore di hosting quale build di PHP stia effettivamente servendo il loro sito e se sia stata aggiornata a una delle release corrette. Il solo aggiornamento di WordPress, Drupal, Joomla o Magento non deve essere confuso con la sostituzione del software PHP vulnerabile su cui si basano. Censys ha inoltre creato php2shell.censys.com per monitorare le vulnerabilità, mentre Calif ha pubblicato un resoconto tecnico della cronologia della scoperta in stile fumetto. Poiché sono già state segnalate attività di sfruttamento, applicare l'aggiornamento di sicurezza PHP appropriato è il passo fondamentale per ridurre l'esposizione ed evitare compromissioni o interruzioni prevenibili.