Nel PHP, considerato la spina dorsale di Internet, sono state rilevate 2 vulnerabilità critiche di sicurezza. Nel linguaggio di programmazione PHP, utilizzato dal 70% dei siti web, sono state scoperte altre due vulnerabilità critiche di sicurezza e il team di sviluppo di PHP ha annunciato, con un comunicato del 20 ottobre, la pubblicazione di patch urgenti che chiudono le falle. Il team ha rilasciato le patch urgenti.
Le vulnerabilità hanno ottenuto un punteggio di 9,2 su 10 nel sistema CVSS v4.0, mentre la società di cybersicurezza watchTowr ha valutato la minaccia con 10 su 10. I dettagli tecnici e gli intervalli delle versioni interessate non sono stati ancora resi noti completamente. I ricercatori hanno scoperto le falle utilizzando il modello GPT-5.6 Sol di OpenAI; anche Wiz, sotto il cappello di Google, ha verificato la scoperta in modo indipendente con i propri strumenti di intelligenza artificiale.
Si afferma che le vulnerabilità identificate con i codici CVE-2026-109618 e CVE-2026-109619 consentano l’esecuzione remota di codice e si sostiene che in un video relativo allo strumento di exploit denominato “PHP2Shell” sia stato possibile eseguire codice sulle seguenti piattaforme. Le piattaforme indicate sono: – WordPress 7.1.3 – MediaWiki 1.46.2 – phpBB 3.3.17 – Magento 2.4.9 – Joomla 6.2.0 – Laravel 13.36.0 – Symfony 8.1.9 – Drupal 11.4.10 – WHMCS 9.0.9
watchTowr ha annunciato di aver riprodotto almeno una delle vulnerabilità in ambiente di laboratorio. La società di sicurezza Sansec ha invece avvertito che, dopo le patch, la prima ondata di attacchi di massa potrebbe iniziare entro 15 minuti.
Termine: patch
Una patch è un aggiornamento che corregge un errore o una vulnerabilità di sicurezza in un software.