Due vulnerabilità critiche in PHP — identificate come CVE-2026-109618 e CVE-2026-109619 — hanno permesso potenzialmente a malintenzionati di eseguire codice dannoso da remoto su sistemi non aggiornati. La notizia ha scatenato una corsa globale alla patch, con siti web in tutto il mondo, inclusi quelli basati su WordPress, mobilitati per applicare la correzione. Elizabeth Barron, direttrice esecutiva della PHP Foundation, ha dichiarato a The Verge che, per quanto a conoscenza dell'organizzazione, non ci sono stati tentativi riusciti di esecuzione remota di codice, ma ha sottolineato che aggiornare i sistemi affetti è un passo «imperativo».
Attacco prima della divulgazione
Secondo un report di Amazon Threat Intelligence, gli attaccanti avrebbero provato a sfruttare le falle giorni prima del rilascio della patch. CJ Moses, chief information security officer di Amazon, ha scritto che il team di sicurezza ha rilevato un tentativo di exploit denominato PHP2Shell il 17 ottobre, attraverso un sistema di monitoraggio progettato per attirare hacker. La segnalazione, ripresa da Wired e Bleeping Computer, indica che l'attività proveniva da un indirizzo IP anonimizzato, suggerendo l'azione di un attore malevolo. Amazon ha inoltre scoperto altri tentativi di sfruttamento il 21 ottobre, poche ore prima della distribuzione della correzione.
Un ritardo dovuto a compromessi complessi
La PHP Foundation aveva teorizzato il bug già nel 2024, ma la soluzione è stata ritardata da problematiche di compatibilità retroattiva, da potenziali rischi di denial-of-service e dalla necessità di modificare numerose estensioni di terze parti, un'operazione definita «impossibile da coordinare». Mentre l'organizzazione si preparava a rilasciare il fix questa settimana, i dettagli sulle vulnerabilità hanno iniziato a trapelare su forum e social media, con alcune aziende di sicurezza che hanno diffuso informazioni prima dell'annuncio ufficiale. Ciò ha alimentato il sospetto che un attore potesse aver identificato la falla prima della fuga di notizie.
La Fondazione ha annunciato un cambio di processo: «Siamo fiduciosi che una vulnerabilità seria con una correzione bloccata su compromessi difficili raggiungerebbe molto più rapidamente la leadership della PHP Foundation, poiché stiamo modificando le procedure affinché la leadership possa contribuire a orientare la situazione verso una risoluzione tempestiva». L'organizzazione ha aggiunto che ora sta dando priorità a misure per garantire che vulnerabilità con correzioni altrettanto complesse vengano risolte più velocemente quando segnalate in futuro.
