Il team di sicurezza di PHP ha annunciato la pubblicazione imminente di aggiornamenti critici per due vulnerabilità di esecuzione remota di codice (RCE), scoperte prematuramente a causa di una fuga di informazioni. Le patch sono attese per domani.
Il team di sicurezza di PHP ha lanciato un avviso urgente agli amministratori di sistema, intimando loro di prepararsi all'installazione di aggiornamenti di sicurezza critici che verranno rilasciati domani. La necessità di una pubblicazione anticipata deriva dalla presunta fuga di informazioni riguardanti due gravi falle di sicurezza, che ha reso necessario accelerare il processo di rilascio delle patch.
PHP è una tecnologia fondamentale per il funzionamento di una vasta porzione del web, alimentando innumerevoli siti web e applicazioni, tra cui sistemi di gestione dei contenuti (CMS), piattaforme di e-commerce e servizi web personalizzati. La sua pervasività rende qualsiasi vulnerabilità critica una potenziale minaccia su larga scala.
In un comunicato ufficiale, il team di sviluppo di PHP ha reso noto che gli aggiornamenti di sicurezza sarebbero stati resi disponibili oggi, mercoledì 21 ottobre, alle 14:00 UTC (10:00 AM Eastern). Questo rilascio anticipato è una risposta diretta alla divulgazione non autorizzata di dettagli sulle vulnerabilità. Il team aveva inizialmente previsto di rendere pubbliche le informazioni giovedì, ma la fuga di notizie ha imposto un cambio di programma.
Il team di sicurezza ha sottolineato la possibilità di un ulteriore anticipo del rilascio qualora i dettagli delle vulnerabilità diventassero di dominio pubblico o se emergessero prove di uno sfruttamento attivo in natura. Questo approccio proattivo mira a mitigare il rischio di attacchi prima che gli aggressori possano sfruttare le falle.
Al momento, gli sviluppatori non hanno fornito dettagli tecnici specifici sulle vulnerabilità, incluse le versioni di PHP interessate, le modalità di sfruttamento o le versioni che includeranno le correzioni. Questa riservatezza è una pratica standard per evitare di fornire indizi agli attaccanti prima che le patch siano ampiamente distribuite.
Nonostante la mancanza di informazioni ufficiali dettagliate, ricercatori di sicurezza di watchTowr hanno comunicato a BleepingComputer che le vulnerabilità sono tracciate come CVE-2026-109618 e CVE-2026-109619. Si ritiene che entrambe siano falle di esecuzione remota di codice (RCE), una categoria di vulnerabilità estremamente pericolosa che consente a un attaccante di eseguire codice arbitrario sul server compromesso.
Secondo watchTowr, queste vulnerabilità potrebbero interessare un'ampia gamma di versioni di PHP, potenzialmente dalla versione 5 fino all'ultima versione 8. Il CEO di watchTowr, Benjamin Harris, ha confermato la veridicità delle falle, definendole "CVSS10", sebbene la valutazione ufficiale del team PHP sia di 9.2 secondo lo standard CVSS v4.0. Questa discrepanza nelle valutazioni potrebbe dipendere da diverse metodologie di analisi o da informazioni incomplete al momento della valutazione di watchTowr.
I ricercatori di watchTowr hanno dichiarato di essere riusciti a riprodurre la vulnerabilità CVE-2026-109618, ma hanno scelto di non divulgare ulteriori dettagli tecnici fino a quando le patch di sicurezza non saranno disponibili per il pubblico. Hanno inoltre specificato di non aver ancora osservato tentativi di sfruttamento attivo di queste falle in natura, nonostante la fuga di informazioni.
La fuga di notizie sembra essere iniziata con un post, successivamente rimosso, sul forum Hacker News di Y Combinator. Un utente, identificato come "petecooper", aveva affermato che due vulnerabilità critiche di RCE in PHP sarebbero state divulgate il 22 ottobre, attribuendo loro punteggi CVSS 10.0 e indicando le versioni interessate a partire da PHP 5. Gli identificatori CVE forniti corrispondevano a quelli successivamente condivisi da watchTowr.
È importante notare le discrepanze tra l'annuncio ufficiale di PHP e le informazioni emerse da watchTowr e dal post su Hacker News. Mentre watchTowr e il post su Hacker News menzionavano un punteggio CVSS 10.0 e una divulgazione originariamente prevista per giovedì, il team di sicurezza PHP ha assegnato un punteggio CVSS v4.0 di 9.2 a ciascuna vulnerabilità e ha programmato il rilascio per domani, mercoledì.
Una volta che gli aggiornamenti saranno disponibili, il team di PHP pubblicherà tutti i dettagli tecnici, le versioni interessate e le versioni corrette. Gli amministratori sono fortemente incoraggiati a pianificare l'applicazione immediata di questi aggiornamenti per proteggere i propri sistemi da potenziali attacchi.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
