Al 22 ottobre 2026, è in corso una grave emergenza di sicurezza che riguarda due vulnerabilità critiche del linguaggio PHP, utilizzato secondo stime dall'oltre il 70% dei siti web (oltre 1 milione). Le due vulnerabilità, divulgate il 21 ottobre, hanno un punteggio di gravità CVSS 9,2/10 e possono consentire a un attaccante di eseguire codice da remoto su server vulnerabili senza autenticarsi. Il punteggio di 9.2 proviene dal CVSS, il Common Vulnerability Scoring System, che valuta la pericolosità di una vulnerabilità in base a fattori come la facilità con cui può essere sfruttata su Internet e l'entità dei danni che può causare. La scala va da 0 a 10 e qualsiasi valore pari o superiore a 9.0 è considerato estremamente critico. Mercoledì, in seguito alla diffusione anticipata di alcuni dettagli, PHP ha rilasciato le relative correzioni; tuttavia, Cloudflare ha segnalato attacchi già ore prima dell'arrivo della patch. Per precauzione, Francia, Finlandia e Paesi Bassi hanno provveduto a mettere offline i propri siti web governativi. Un aggressore potrebbe modificare pagine, rubare dati custoditi sul server o tentare di ingannare gli utenti con transazioni e collegamenti malevoli. Una falla di questo tipo potrebbe anche consentire a un malintenzionato di eseguire il proprio codice su un server vulnerabile tramite Internet, prendendo il controllo completo del sistema.
VULNERABILITA'
PHP è un linguaggio che gira prevalentemente sui server: gestisce pagine dinamiche, login, database, API e altre funzioni dei siti web. È usato, direttamente o indirettamente, da piattaforme come WordPress, Joomla e Drupal. PHP ha affermato che il rischio è massimo sui server che utilizzano una configurazione Apache comune chiamata mod_php, dove un exploit dimostrato funziona "prima che venga eseguito qualsiasi codice dell'applicazione". In altre parole, le difese del sito web, come le schermate di accesso e i plugin di sicurezza (ad esempio di WordPress), non si attivano nemmeno.
Le due falle sono:
1) CVE-2026-109618: è un errore nella gestione della memoria quando PHP esaurisce il limite può provocare l'esecuzione di codice non autorizzato.
2) CVE-2026-109619: uno stato interno può restare utilizzabile dopo che la memoria associata è stata liberata, consentendo un attacco al processo PHP.
Entrambe possono portare alla Remote Code Execution (RCE): l'attaccante riesce a far eseguire al server comandi o codice sotto il proprio controllo. Il problema interessa diverse modalità di esecuzione di PHP e può verificarsi prima ancora che il codice dell'applicazione venga eseguito, nelle configurazioni vulnerabili descritte dai ricercatori.
RISCHI
Se un sito utilizza una versione vulnerabile di PHP e viene compromesso, l'attaccante potrebbe ottenere un livello di controllo significativo sul server, a seconda dei permessi e dell'isolamento dell'ambiente.
I rischi principali sono:
- Furto di dati: database utenti, email, password salvate in forma non sicura, token di sessione e altri dati sensibili accessibili sul server.
- Modifica del sito: sostituzione di pagine autentiche con pagine di phishing o schermate di pagamento contraffatte.
- Distribuzione di malware: inserimento di script o download malevoli nelle pagine, se il server compromesso consente queste modifiche.
- Compromissione di account: furto di sessioni e credenziali, con possibili accessi non autorizzati agli account.
- Interruzione dei servizi: cancellazione di dati, manomissione delle applicazioni o blocco del sito.
Inoltre un'integrazione PHP compromessa potrebbe alterare gli indirizzi di pagamento, intercettare dati o falsificare le istruzioni mostrate ai clienti. È un rischio particolarmente pertinente per negozi online e servizi di pagamento.
E SULLA BLOCKCHAIN?
La vulnerabilità PHP riguarda anche il Web3 ma non permette automaticamente di estrarre la seed phrase da MetaMask o di firmare transazioni. Se il wallet è installato localmente e le chiavi restano sul dispositivo, un bug nel server di un sito visitato non equivale a una compromissione delle chiavi.
Il rischio aumenta se un sito compromesso ti induce a inserire la seed phrase, installare software malevolo o firmare una transazione pericolosa. Se il server di un protocollo o della sua interfaccia web viene compromesso, l'aggressore potrebbe tentare di modificare indirizzi dei destinatari, parametri delle transazioni, richieste di approvazione o script caricati dal sito. Potresti quindi ritrovarti davanti a una transazione apparentemente normale che, invece, autorizza uno spender malevolo o trasferisce fondi verso un altro indirizzo. La vulnerabilità PHP non crea da sola questa transazione: il sito compromesso sarebbe il veicolo dell'attacco. Se una piattaforma utilizza PHP in un componente vulnerabile, la compromissione potrebbe esporre dati o sistemi interni. Il rischio sui fondi dipende anche da come sono separati i server web dai sistemi di custodia, dai database e dai sistemi di prelievo. Sostanzialmente il pericolo principale sono attacchi di tipo "DNS hijack", già visti in passato su piattaforme quali Compound, Celer e Curve. Gli utenti, di fatto, non possono adottare contromisure efficaci; la responsabilità di applicare la correzione ricade interamente sui proprietari dei siti web e sulle società di hosting. Il processo potrebbe richiedere diverso tempo, dato che risultano ancora attivi circa 884.000 server che utilizzano PHP 8.1 o versioni precedenti.
Qui puoi trovare altre pericolose vulnerabilità recenti: Alcune Pericolose Vulnerabilità Sul Web: Gitlab, Certificati Digitali e Nebula AI
Nessun commento:
Posta un commento