Il team responsabile della sicurezza nell'ecosistema PHP ha rivelato l'esistenza di due vulnerabilità critiche che consentono l'esecuzione remota di codice (RCE) e che impattano su piattaforme come WordPress, MediaWiki o Symphony, tra le altre. Questa situazione ha motivato il rilascio urgente di una patch di sicurezza questo mercoledì e ha portato a numerosi siti e applicazioni web a isolarsi in modo preventivo in tutto il mondo per motivi di sicurezza.
PHP è un linguaggio di programmazione open source molto diffuso per lo sviluppo di pagine e applicazioni web, oltre a essere utilizzato per gestire moduli, controllare sessioni utente o effettuare query a database. Per questo motivo, la sua presenza su internet è massiccia e costituisce uno strumento fondamentale per gli sviluppatori a livello globale.
In questo contesto, sono state identificate due vulnerabilità di esecuzione remota di codice all'interno dell'ecosistema PHP, catalogate come CVE-2026-109618 e CVE-2026-109619. Entrambe hanno ottenuto un punteggio di 9,2 su 10 nella scala CVSS 4.0, il che le colloca al livello di massima criticità.
Per affrontare questi problemi, il team di PHP ha indicato che pubblicherà un aggiornamento di sicurezza questo mercoledì 21 ottobre. Allo stesso tempo, ha chiesto a tutti gli utenti di PHP di prepararsi ad applicare la patch "non appena il rilascio sarà disponibile", come hanno spiegato in un comunicato sul loro sito ufficiale e in un post sul social network X.
Le vulnerabilità sono state documentate dalla società di cybersecurity watchTowr, che ha spiegato che questi difetti sono conosciuti come "PHP2shell" e che potrebbero consentire a un attaccante di eseguire codice proprio sui server compromessi, ottenendo il controllo per modificare siti web in modo malevolo o sottrarre informazioni.
Gli investigatori hanno precisato inoltre che entrambi i difetti colpiscono tutti i rami del linguaggio PHP, da PHP 5 in poi, anche se al momento non è stato segnalato alcun caso di sfruttamento attivo di queste vulnerabilità.
In pratica, l'ambito potenziale di questi difetti si estende a una porzione molto ampia della rete. Un esempio chiaro è WordPress: tutti i siti che utilizzano questa piattaforma vengono eseguiti su server con PHP, il che rappresenta circa il 40 percento delle pagine di internet. Così ha ricordato la stessa azienda in una nota sul suo blog, dove sottolinea anche che saranno gli amministratori dei siti a dover aggiornare PHP manualmente.
In parallelo, il Team di Risposta alle Emergenze Informatiche dell'Unione Europea ha diffuso un avviso su queste vulnerabilità e sul patch previsto per correggerle. In tale comunicato, consiglia che quelle entità che non possono applicare l'aggiornamento immediatamente "dovrebbero considerare di isolare le applicazioni orientate a internet dalle reti pubbliche fino a quando non ci sarà una soluzione disponibile".
La pubblicazione dell'aggiornamento è stata fissata per questo mercoledì alle 14:00 ore UTC, il che equivale alle 16:00 ore nella Spagna peninsulare.
Fino a quando il patch non sarà disponibile e distribuito, numerosi servizi e pagine web sono stati isolati in modo preventivo su scala globale. Nel caso del sito ufficiale di WordPress, al momento di redigere queste informazioni viene mostrato un avviso in cui si spiega che i suoi servizi non sono operativi temporaneamente mentre applicano "misure di mitigazione per la vulnerabilità PHP2Shell, per la quale non c'è ancora un patch".
D'altra parte, il direttore tecnologico di Cloudflare, Dane Knecht, ha indicato in una pubblicazione su X che hanno già rilevato "attacchi precoci" diretti contro siti PHP che utilizzano la sua piattaforma. Per questo motivo, la compagnia sta distribuendo "mitigazioni man mano che appaiono nuovi vettori", in attesa che il team di PHP pubblichi l'aggiornamento definitivo.