Il CSIRT Italia ha rilevato 285.149 servizi PHP con versioni a rischio. Due falle critiche hanno la correzione, la terza ancora no.
Il 25 ottobre il CSIRT Italia, il servizio dell'Agenzia per la cybersicurezza nazionale (ACN), ha pubblicato un'allerta con un titolo senza sfumature: aggiornare immediatamente i sistemi vulnerabili. Riguarda PHP, il linguaggio su cui gira una parte enorme dei siti web.
I numeri, forniti da Censys, sono questi: 741.523 servizi PHP rilevati in Italia, 285.149 con versioni potenzialmente vulnerabili. È l'81,9% dei servizi di cui si è riusciti a identificare la versione, e il 38,5% di tutti quelli rilevati. L'ACN avverte che la stima può includere sistemi già corretti senza che il numero di versione sia cambiato.
Il problema nasce da due falle critiche (CVE-2026-109618 e CVE-2026-109619) che permettono di eseguire codice da remoto. L'ACN le ha segnalate il 21 ottobre. Le correzioni sono uscite lo stesso giorno nelle versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Per PHP 8.1 e precedenti, non più supportato, non ci sono né correzioni né rimedi. Il 23 ottobre l'ACN ha aggiunto una terza falla, CVE-2026-115560, ancora senza correzione: per ora consiglia di impostare `session.upload_progress.enabled=0`. Per le prime due esiste già codice dimostrativo funzionante. Se non si può aggiornare, l'agenzia suggerisce di mettere il servizio offline.