La NSA avverte di due gravi vulnerabilità in PHP e chiede aggiornamenti immediati

L'Agenzia per la Sicurezza Nazionale degli Stati Uniti (NSA) ha avvertito della presenza di due gravi vulnerabilità all'interno del linguaggio di programmazione PHP che potrebbero consentire agli aggressori di eseguire comandi da remoto e di prendere il controllo dei server di siti web e applicazioni, secondo un rapporto seguito dall'Agenzia di stampa irachena.

Il rapporto ha indicato che l'avvertimento è stato emesso mercoledì, e ha identificato le due vulnerabilità con i codici (CVE-2026-109618) e (CVE-2026-109619), attribuendo loro un punteggio di gravità pari a 9.2 su 10, sottolineando che il rischio risiede nelle vulnerabilità nel linguaggio PHP stesso e non in plugin o sistemi di gestione dei contenuti specifici.

Il rapporto ha avvertito che lo sfruttamento delle due vulnerabilità potrebbe portare all'accesso a dati sensibili quali password, token di sicurezza e chiavi API, e potrebbe anche consentire la manipolazione dei contenuti dei siti e l'accesso alle informazioni degli utenti.

Test di sicurezza hanno mostrato la possibilità di sfruttare le vulnerabilità in ambienti che usano sistemi di gestione dei contenuti come WordPress, Drupal e Joomla, sebbene le falle non risiedano in quei sistemi ma nel linguaggio di programmazione su cui si basano.

Il rapporto ha rilevato che la scoperta delle vulnerabilità è avvenuta con la partecipazione di team di ricerca specializzati, tra cui le società Calif e Weiz, in collaborazione con il team di sviluppo PHP e con OpenAI, indicando che strumenti di intelligenza artificiale hanno contribuito ad analizzare gli errori di programmazione e a individuare i percorsi di sfruttamento.

Ha aggiunto che alcuni degli errori che hanno causato queste vulnerabilità risalgono a più di dieci anni, ma la complessità del loro sfruttamento ha impedito di rilevarne la gravità in precedenza.

Il team di sviluppo PHP ha rilasciato aggiornamenti di sicurezza urgenti per correggere le vulnerabilità, coprendo le versioni (8.5.12), (8.4.27), (8.3.36) e (8.2.35), e il rapporto invita le organizzazioni e i proprietari di siti a installare tali aggiornamenti immediatamente, avvertendo che le contromisure temporanee non offrono protezione completa.