Il team europeo di risposta alle emergenze informatiche ha consigliato ai siti web che non possono correggere due vulnerabilità critiche di PHP di prendere in considerazione la possibilità di andare offline. Entrambe le falle permetterebbero agli attaccanti di prendere il controllo dei server web senza alcun login.
PHP è alla base di una grande parte del web, dai blog WordPress agli store online Magento. Tuttavia, i dettagli di entrambe le vulnerabilità sono trapelati online prima che fossero disponibili le patch.
Gli attaccanti hanno avuto un vantaggio iniziale
La fuga di notizie è emersa il 20 ottobre, prima della divulgazione programmata, come riportato da Huntress. Il team di sicurezza della PHP Foundation ha quindi programmato la pubblicazione per il 21 ottobre alle 14:00 UTC.
The PHP security team is giving advance notice: Upcoming security release Wed, Oct 21st 2026, 14:00UTC, two critical vulnerabilities, both rated CVSSv4 9.2.
— The PHP Foundation (@ThePHPF) October 20, 2026
PHP users are encouraged to prepare to update. Earlier release if details become public or active exploit evidence.
La società di sicurezza watchTowr ha nel frattempo riprodotto una delle due vulnerabilità, secondo Huntress. Huntress ha inoltre dichiarato di non aver rilevato exploit sui sistemi dei propri clienti.
Al contrario, Dane Knecht, chief technology officer di Cloudflare, ha affermato che gli attacchi sono già iniziati. La sua azienda ha implementato regole firewall contro i percorsi di attacco noti per tutti i clienti, anche quelli gratuiti.
Stiamo osservando i primi attacchi emergere e aggiorniamo le mitigazioni man mano che compaiono nuovi vettori. Questa è solo una SOLUZIONE TEMPORANEA.
Knecht ha condiviso questo avvertimento in un post su X.
Il Computer Emergency Response Team dell’Unione Europea (CERT-EU) e l’agenzia per la cybersecurity australiana hanno entrambi avvisato che le vulnerabilità PHP potrebbero colpire tutte le release dalla versione PHP 5 in avanti, come riportato da Reuters.
Alcuni ricercatori si aspettano correzioni solo per le versioni supportate di PHP 8, ha spiegato Huntress. Questo potrebbe lasciare i siti che utilizzano release più vecchie e non supportate senza una patch.
L’allerta arriva a poche settimane dall’avvertimento di oltre 100 aziende sull’aumento degli attacchi cyber basati su AI nei prossimi mesi.
Cosa significano le vulnerabilità PHP per i proprietari di siti web
PHP viene utilizzato da circa il 69% dei siti web di cui si conosce il linguaggio server-side, secondo i dati di W3Techs. Solo WordPress alimenta circa il 40% di tutti i siti web.
CERT-EU ha spiegato che il punteggio di gravità di 9,2 indica una possibilità di esecuzione remota di codice non autenticato. In parole semplici, un estraneo può eseguire codice malevolo su un server senza bisogno di credenziali.
Il web host GoDaddy ha avvertito che gli attaccanti potrebbero rubare dati, deturpare i siti web o prendere il controllo completo di un sistema. I dati rubati hanno un valore concreto, come ha dimostrato il caso delle violazioni delle banche sudcoreane.
Il plugin di sicurezza Wordfence ha sottolineato che ogni sito WordPress si basa su un server PHP. Tuttavia, gli aggiornamenti automatici di WordPress non correggeranno le vulnerabilità PHP. I proprietari dei siti devono quindi verificare chi gestisce per loro PHP.
Gli attacchi alle infrastrutture di tutti i giorni continuano a diffondersi, come dimostrato dall’hack dei frigoriferi nei supermercati francesi di ottobre. Queste vulnerabilità PHP spostano quella pressione sul livello software alla base di gran parte del web, dove un aggiornamento del server mancato può spalancare la porta agli attaccanti.
Leggi la storia originale Perché l’UE sta chiedendo ad alcuni siti web di auto-disattivarsi di Phil Haunhorst su it.beincrypto.com