Perché dovresti preoccuparti se sei una PMI o un lavoratore autonomo nel settore tecnologico
Se la tua attività online, il tuo negozio di e-commerce o il tuo sito web aziendale utilizzano PHP (Hypertext Preprocessor), quello che verrà dopo ti preoccupa urgentemente. PHP è il linguaggio di programmazione più utilizzato nello sviluppo web, presente in circa il 70% dei siti su Internet (apnews.com). Sono state individuate due falle molto gravi, con un punteggio di 9,2 sulla scala CVSS (Common Vulnerability Scoring System) v4.0, che le colloca nella categoria “critiche” (gub.uy).
Questi bug influiscono sulle funzionalità core di base di PHP e consentono agli aggressori di eseguire codice remoto senza autenticazione. In pratica, potrebbero accedere ai tuoi server o modificare i tuoi contenuti senza che tu te ne accorga in tempo. Per questo motivo la PHP Foundation ha sollecitato l’applicazione immediata delle patch (apnews.com).
Contesto e dettagli tecnici dei guasti
L'annuncio ufficiale è stato fatto il 20 ottobre 2026, quando il team di sicurezza PHP ha avvertito che un aggiornamento di emergenza sarebbe stato rilasciato il martedì successivo, 21 ottobre alle 14:00 UTC, per risolvere i difetti identificati come CVE-2026-109618 e CVE-2026-109619 (discourse.thephp.foundation). Entrambi i guasti sono stati valutati 9,2 su 10 sulla scala CVSS v4.0 (tenable.com)
CVE-2026-109618 (OOM Corruption): sfrutta il modo in cui PHP gestisce gli errori di memoria insufficiente. La pulizia successiva può interpretare i dati incompleti come validi, causando il danneggiamento della memoria e l'esecuzione di codice dannoso (tenable.com).
CVE-2026-109619 (Stale Global State): questo è un use-after-free. I resti dello stato globale di una richiesta precedente possono essere riutilizzati da un lavoratore per eseguire codice dannoso in una richiesta successiva (zaproxy.org).
Queste vulnerabilità colpiscono tutte le installazioni che servono richieste web: PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP, LiteSpeed, ecc. (tenable.com). Il nome informale della suite è PHP2Shell (es.wikipedia.org).
Implicazioni pratiche per le piccole imprese e i lavoratori autonomi
Gli sfruttamenti di questo tipo di falla consentono agli aggressori di eseguire codice sui tuoi server senza richiedere credenziali. Ciò significa che potrebbero inserire backdoor, installare malware, modificare il tuo sito web o rubare informazioni. La portata del problema è ampia: molti siti web, dai portali standard a WordPress, Drupal, PrestaShop o Moodle, potrebbero essere stati colpiti gub.uy
Organizzazioni come la CISA (agenzia statunitense per la sicurezza informatica) hanno lanciato avvisi urgenti per correggere queste vulnerabilità o, se ciò non è possibile, isolare i sistemi interessati fino all'applicazione della soluzione (content.govdelivery.com). In Europa e in altri paesi, diversi CERT nazionali hanno emesso avvisi simili elpais.com
Passaggi consigliati per proteggere il tuo sito web
Ti consigliamo di adottare le seguenti misure per ridurre al minimo i rischi e ripristinare la sicurezza:
- Identifica i sistemi che utilizzano PHP: controlla server, hosting e componenti che potrebbero eseguire PHP vulnerabile content.govdelivery.com
- Aggiornamento alle versioni patchate: le versioni che risolvono i bug sono PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35 (content.govdelivery.com).
- Se non è possibile eseguire l'aggiornamento immediatamente: limitare temporaneamente l'accesso da Internet, utilizzare firewall per applicazioni Web (WAF) o reti private e monitorare i processi sospetti
- content.govdelivery.com
- Riavvia i servizi dopo l'aggiornamento: assicurati di riavviare PHP‑FPM, Apache, ecc., altrimenti i vecchi file binari potrebbero continuare a funzionare su reddit.com.
- Monitorare gli indicatori di possibile sfruttamento: come shell impreviste, download non autorizzati, modifiche ai file o comportamenti strani content.govdelivery.com
Conclusione
Questi due difetti critici in PHP – CVE-2026-109618 e CVE-2026-109619 – costituiscono una vera minaccia per qualsiasi sito web esposto. Applicare le patch ufficiali disponibili dal 21 ottobre 2026 deve essere una priorità per garantire la continuità della tua attività digitale. Noi di CADT Software possiamo aiutarti a rivedere il tuo ambiente, applicare aggiornamenti e rafforzare la sicurezza delle tue applicazioni web. Non lasciare che una vulnerabilità senza patch comprometta il tuo progetto e contattaci per agire in modo efficace e rapido.
