Cyber alert per PMI svizzere sulle falle PHP CVE-2026-109618 e CVE-2026-109619 sfruttate attivamente

Cyber alert per PMI svizzere: siti web aziendali – falle PHP sfruttate attivamente

16 ore fa

Tempo di lettura: 2 min

Secondo Amazon, due vulnerabilità critiche di PHP sono già sfruttate attivamente. PHP è alla base di molti siti web aziendali, siti WordPress e negozi online; gli aggressori possono indurre un server vulnerabile a eseguire codice senza autenticarsi. Se la vostra azienda gestisce un sito web o un negozio online, chiedete subito al fornitore web o informatico di aggiornare PHP e di cercare tracce di compromissione dal 17 ottobre 2026.

Che cosa è successo?

Il progetto PHP ha pubblicato il 21 ottobre 2026 aggiornamenti d’emergenza per CVE-2026-109618 e CVE-2026-109619. Entrambe le falle interessano le installazioni PHP che elaborano richieste web. Un attacco riuscito può eseguire codice con i privilegi del processo PHP; CVE-2026-109619 può inoltre divulgare contenuti dalla memoria. Amazon ha osservato il primo tentativo il 17 ottobre e ora definisce le falle ampiamente sfruttate in attacchi reali.

La mia azienda potrebbe essere coinvolta?

Sì, se un sito pubblico, un portale clienti o un negozio online utilizza PHP, sul vostro server oppure presso un provider di hosting o web. WordPress, WooCommerce, Drupal, Joomla e Magento si basano spesso su PHP. Va verificata la versione di PHP sul server web sottostante.

Che cosa dovreste fare ora?

Incaricate oggi stesso il vostro fornitore web o informatico di svolgere queste attività:

• Censire tutti i sistemi PHP e i pacchetti di hosting raggiungibili da Internet.

• Aggiornare a PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 oppure a un pacchetto per il quale il fornitore del sistema operativo o dell’hosting possa dimostrare l’applicazione della correzione.

• Esaminare i log dei server web, i processi inattesi e le modifiche ai file per individuare un’eventuale compromissione almeno dal 17 ottobre 2026.

PHP 8.1 e le versioni precedenti non ricevono più aggiornamenti regolari dal progetto PHP. Il fornitore deve verificare se esiste una correzione retroportata oppure se occorre un upgrade.

Quanto è urgente?

Molto urgente. Gli attacchi non richiedono autenticazione, exploit funzionanti sono comparsi subito dopo la pubblicazione degli aggiornamenti e le sole modifiche alla configurazione non offrono una protezione completa. I sistemi esposti a Internet vanno controllati entro poche ore, non tra settimane.

Informazioni per il vostro fornitore IT

CVE-2026-109618: esecuzione di codice da remoto tramite corruzione della memoria in condizioni di esaurimento della memoria. CVE-2026-109619: esecuzione di codice da remoto tramite stato globale obsoleto o use-after-free; è possibile anche la divulgazione di memoria.

Gli stack PHP interessati comprendono PHP-FPM, Apache mod_php, php-cgi, FrankenPHP e LiteSpeed. Versioni upstream corrette: PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35. Per distribuzioni o offerte LTS va verificata l’effettiva correzione retroportata dal fornitore.

Threat hunting dal 17 ottobre 2026: verificare richieste POST contenenti PHP_SESSION_UPLOAD_PROGRESS, processi figli sospetti del server web e modifiche inattese ai file.

Indicatori AWS: 103.216.220.92, 31.223.184.166, 37.19.200.5, 134.209.159.64, 103.114.163.188, 95.217.98.37. Poiché alcuni indirizzi possono appartenere a servizi di anonimizzazione condivisi, vanno usati come piste investigative e non come lista di blocco autonoma.

Fonti ufficiali

Progetto PHP: https://www.php.net/archive/2026.php

AWS Security Blog: https://aws.amazon.com/blogs/security/php-vulnerabilities-cve-2026-109618-and-cve-2026-109619/