Il 21 ottobre 2026 l’ANSSI, tramite il CERT‑FR, ha pubblicato un’allerta su due vulnerabilità critiche che interessano PHP, uno dei linguaggi più usati per lo sviluppo di siti e applicazioni web. L’avviso, condiviso a livello europeo da ENISA, dalla Commissione europea, da Europol e dal CERT‑EU, invita le organizzazioni a intervenire senza indugio, poiché le falle consentono a un attaccante di eseguire codice arbitrario su server vulnerabili senza alcuna autenticazione.
Dettagli tecnici delle vulnerabilità
Le due falle, identificate con i codici CVE‑2026‑109618 e CVE‑2026‑109619, hanno ricevuto un punteggio CVSS di 9,2, classificandole come critiche. La loro exploitabilità permette l’esecuzione remota di codice (RCE) senza necessità di credenziali, aprendo la porta a compromissioni complete del sistema, installazione di malware e movimenti laterali verso altre risorse di rete.
Il perimetro interessato è estremamente ampio: secondo il CERT‑FR le vulnerabilità colpiscono le versioni di PHP dalla 5 alla 8.1, nonché alcune versioni precedenti ai fix delle branche 8.2‑8.5. Le installazioni obsolete, non più supportate, rappresentano un punto di vulnerabilità critico perché non ricevono più aggiornamenti di sicurezza.
Impatto su prodotti commerciali e open source
Non solo i siti che utilizzano PHP direttamente sono a rischio; molti prodotti commerciali e soluzioni open source includono PHP come dipendenza trasparente per gli sviluppatori, rendendo difficile per i team IT individuare tutti i punti di esposizione.
Il ruolo dell’intelligenza artificiale nella scoperta
Le vulnerabilità sono state individuate con l’assistenza di strumenti di intelligenza artificiale, dimostrando come l’IA possa accelerare sia la ricerca di difetti di sicurezza sia, potenzialmente, l’attività degli aggressori. Gli algoritmi hanno analizzato grandi codebase, rilevando pattern anomali difficili da scoprire manualmente.
Questo scenario evidenzia una nuova sfida: non basta più identificare le falle, ma è necessario tenere il passo con la rapidità con cui emergono. Quando una vulnerabilità critica diventa pubblica, i team di sicurezza devono rapidamente mappare gli asset esposti, valutare il rischio e distribuire i patch. In grandi organizzazioni ciò può coinvolgere centinaia di server, applicazioni legacy e più fornitori.
Asimmetria tra scoperta e remediation
L’automazione nella ricerca delle vulnerabilità rischia di aumentare l’asimmetria tra velocità di rilevazione e capacità di remedizione. Le aziende che non possiedono un inventario accurato dei propri sistemi o che non gestiscono in modo rigoroso gli aggiornamenti sono particolarmente vulnerabili.
Patch disponibili e contromisure temporanee
Il CERT‑FR raccomanda di identificare gli equipaggiamenti interessati, isolare i sistemi vulnerabili se necessario e migrare verso versioni supportate che includono i fix. Le versioni corrette pubblicate sono PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12.
Quando l’aggiornamento immediato non è possibile, è consigliabile adottare misure di mitigazione temporanee, senza sostituire l’applicazione dei patch, quali:
- Disabilitare session.upload_progress.enabled.
- Bloccare le richieste HTTP con header Content‑Type: multipart.
Le direzioni informatiche devono inoltre verificare ambienti di produzione, container, dipendenze software e installazioni gestite da provider di hosting, poiché l’allerta sottolinea l’importanza di un inventario aggiornato e di processi di patch management efficienti.
Conseguenze operative e gestione della continuità
Alcuni siti esposti, inclusi portali di prefetture e servizi pubblici, hanno temporaneamente sospeso l’accesso online per valutare i rischi e mettere in sicurezza le infrastrutture. Queste interruzioni mostrano la difficoltà di bilanciare la continuità dei servizi con l’urgenza di proteggere i sistemi informatici.
Le organizzazioni devono quindi definire piani di risposta che includano:
- Procedura di identificazione rapida dei sistemi vulnerabili.
- Strategie di isolamento temporaneo per limitare l’esposizione.
- Processi di testing e rollout dei patch in ambienti di staging prima della produzione.
- Comunicazione trasparente con gli utenti finali in caso di interruzioni di servizio.
Verso una resilienza basata sull’IA
L’esperienza dimostra che l’intelligenza artificiale può essere un “doppio taglio”: se da un lato potenzia la scoperta di vulnerabilità, dall’altro aumenta la pressione sulle capacità operative delle aziende. Investire in soluzioni di gestione automatizzata delle patch, in piattaforme di asset discovery basate su IA e in team di risposta rapida è ormai indispensabile per mantenere la resilienza digitale.
In conclusione, le due vulnerabilità critiche di PHP rappresentano un monito forte per il settore: l’accelerazione della scoperta delle falle, sostenuta dall’IA, richiede un pari passo nella capacità delle organizzazioni di aggiornare e proteggere i propri sistemi. Solo attraverso un approccio proattivo, basato su inventario continuo, automazione dei processi di sicurezza e collaborazione tra autorità europee e realtà aziendali, sarà possibile limitare l’esposizione a minacce sempre più sofisticate.