Software · 21 ottobre 2026 · 4 min di lettura
Allarme rosso sul web: due falle critiche in PHP scatenano la corsa alle patch
In sintesi: I manutentori di PHP hanno rilasciato aggiornamenti di sicurezza straordinari per sanare due vulnerabilità critiche con punteggio CVSS 9.2, catalogate come CVE-2026-109618 e CVE-2026-109619. I bug colpiscono il meccanismo di gestione delle richieste web e risalgono a versioni del codice vecchie di oltre vent'anni. Con attacchi automatizzati già avvistati in rete, amministratori di sistema e team di sviluppo in tutto il mondo stanno correndo ai ripari per blindare server, piattaforme CMS e applicazioni custom.
di Team Mocchi's
Un colpo al cuore dell'infrastruttura web
Nelle ultime ventiquattro ore la sicurezza di gran parte del web dinamico è entrata in modalità emergenza. La PHP Foundation e i manutentori del linguaggio hanno diffuso patch correttive immediate per due vulnerabilità critiche, classificate rispettivamente come CVE-2026-109618 e CVE-2026-109619. Entrambe hanno ricevuto un indice di gravità pari a 9.2 su 10, una valutazione riservata ai difetti capaci di compromettere radicalmente un'infrastruttura senza richiedere credenziali o interazioni da parte della vittima.
Il problema investe qualsiasi server configurato per gestire richieste web tramite l'interprete PHP. La profondità storica del bug è eccezionale: le verifiche tecniche della società di cybersecurity watchTowr confermano che la superficie vulnerabile affonda le proprie radici nel codice introdotto con PHP 5, pubblicato per la prima volta nel luglio del 2004. Di fatto, ventidue anni di versioni software contengono il medesimo difetto architetturale, aprendo le porte all'esecuzione di codice arbitrario da remoto (RCE).
Tra leak di exploit e primi attacchi in rete
La mobilitazione globale è scattata in seguito alla comparsa online di presunti dettagli operativi e di una dimostrazione video di un tool battezzato PHP2Shell, progettato per sfruttare la falla contro ambienti molto diffusi. Come riporta Ars Technica, il vettore d'attacco bersaglia server che ospitano software essenziali per l'economia digitale, tra cui WordPress, Drupal, Joomla, framework moderni come Laravel e Symfony, fino a soluzioni di commercio elettronico come Adobe Magento e piattaforme gestionali come WHMCS.
La dinamica dell'attacco aggira le consuete difese perimetrali. Come evidenziato da Wired, la vulnerabilità risiede in un'interfaccia interna di gestione dei file inviati tramite upload: agli occhi di un attaccante, si comporta come un ingresso privo di serratura. Chi conduce la scansione non ha bisogno di conoscere l'applicazione specifica o il CMS installato sulla macchina target; basta inoltrare una richiesta HTTP manipolata verso un qualsiasi endpoint per tentare l'infezione. Società specializzate nella protezione degli e-commerce come Sansec avevano stimato l'avvio delle offensive automatizzate entro quindici minuti dalla pubblicazione del codice, e provider di rete come Cloudflare hanno confermato di aver registrato picchi di scansioni ostili già nelle prime ore.
Il nodo critico del software legacy
Il vero fattore di rischio non risiede soltanto nella tempestività delle correzioni, ma nel perimetro del software ancora in produzione. La PHP Foundation ha predisposto i pacchetti ufficiali esclusivamente per i rami ancora supportati, vale a dire da PHP 8.2 in avanti. Qualsiasi server che operi ancora su PHP 7.x, 8.0 o 8.1 — per non parlare delle storiche release 5.x rimaste attive su portali non aggiornati — non riceverà alcun aggiornamento dal canale primario del progetto.
Sebbene alcune distribuzioni Linux LTS e fornitori terzi stiano allestendo contromisure di emergenza per le versioni archiviate, i ricercatori sottolineano come non esistano configurazioni di mitigazione parziale affidabili all'infuori dell'aggiornamento del runtime. In tutto il pianeta, con oltre un milione di host direttamente esposti alle scansioni dei botnet, l'assenza di manutenzione ordinaria rischia di trasformarsi in una gigantesca superficie per worm o ransomware automatizzati.
Il punto di Mocchi's
Questa vicenda ribadisce quanto sia pericoloso considerare lo stack applicativo come un elemento immutabile una volta andato in produzione. Per il tessuto aziendale italiano, dove moltissimi siti corporate, portali B2B ed e-commerce poggiano su installazioni PHP datate o poco manutenute, questo allarme impone un audit immediato dell'infrastruttura. È fondamentale mappare ogni singolo host attivo, isolare le istanze ferme a versioni precedenti a PHP 8.2 e blindare gli ingressi web con regole WAF dedicate mentre si applicano le patch dei binari. La resilienza digitale non è un costo saltuario, ma un processo di aggiornamento continuo senza il quale anche il software più affidabile si trasforma in una porta aperta.