Una grave crisi di sicurezza si sta sviluppando oggi mentre difetti PHP diffusi causano numerosi arresti dei siti Web e pagine di errore. Gli esperti avvertono che quasi il 70 percento dei siti Web deve aggiornare immediatamente il proprio software di base per affrontare due vulnerabilità critiche che consentono agli attaccanti di eseguire codice arbitrario e assumere il controllo completo dei server interessati. Sfruttamenti funzionanti per questi bug sono già confermati essere in uso nel mondo reale.
Le vulnerabilità interessano PHP, il linguaggio di programmazione che alimenta importanti sistemi di pubblicazione Web tra cui Drupal, Magento, Joomla e WordPress. In risposta, il team di PHP ha rilasciato un aggiornamento di sicurezza di emergenza più tardi oggi. I difetti colpiscono tutti i server Web che eseguono la versione 5.4 o successiva di PHP e sono tracciati sotto CVE-2026-109618 e CVE-2026-109619. Le patch sono state emesse nelle versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35.
L'impatto immediato è già stato avvertito a livello globale, con Reuters che segnala che i siti Web governativi in Europa e altre regioni sono andati offline a seguito della divulgazione. Cloudflare ha rilevato tentativi di sfruttamento attivo all'inizio della mattina e ha implementato regole del firewall per le applicazioni Web alle 3:02 UTC per bloccare il traffico degli attacchi. Questi exploit pongono rischi di negazione del servizio, esecuzione remota di codice ed esposizione dei dati.
OpenAI, che ha partecipato agli sforzi di ricerca e sensibilizzazione, ha descritto la situazione come uno dei problemi di sicurezza più impattanti negli ultimi tempi a causa della gravità dei difetti e dell'ubiquità di PHP. I dati di Censys indicano che circa 2,58 milioni di host rivolti a Internet e 54,9 milioni di proprietà Web stanno attualmente eseguendo PHP. Gli esperti di sicurezza di Wiz hanno notato che ogni versione di PHP rilasciata nell'ultimo decennio è interessata da almeno una di queste vulnerabilità.
I ricercatori di Wiz, accreditati per la scoperta dei difetti insieme a Calif e OpenAI, hanno dichiarato che i bug sottostanti esistevano da decenni ma richiedevano una catena di passaggi eccezionalmente complessa per essere sfruttati. Hanno sottolineato che i modelli AI all'avanguardia hanno ridotto significativamente questa barriera, trasformando un difetto teorico di lunga data in uno sfruttamento pratico. I ricercatori si aspettano uno sfruttamento di massa mirato all'installazione di backdoor basate sul Web o "web shell" per controllare a distanza i siti infetti.
La portata del problema ha suscitato confronti con la vulnerabilità Log4Shell del 2021. I ricercatori di Wiz hanno sottolineato che, poiché PHP è profondamente integrato nelle nuvole, nei provider di hosting e nelle reti di distribuzione dei contenuti, le organizzazioni probabilmente faticeranno a correggere queste vulnerabilità per un certo periodo. Il SANS Internet Storm Center sta monitorando le principali piattaforme che distribuiscono aggiornamenti, inclusi i recenti rilasci di pacchetti da Ubuntu.
Fonti: Krebs on Security.