Le vulnerabilità critiche di PHP hanno gravità 9,2: emergono i primi attacchi

Ecco gli ultimi aggiornamenti dai mercati delle attività digitali: Il 21 ottobre 2026 sono uscite le patch per due vulnerabilità critiche di PHP, mentre siti governativi di Paesi Bassi e Finlandia andavano offline per precauzione. Il provider di sicurezza Wordfence avverte che il rimedio richiede un intervento diretto: non basta affidarsi agli aggiornamenti automatici di WordPress. Punti chiave Gli sviluppatori di PHP hanno assegnato alle falle un punteggio di gravità di 9,2 su 10.

Le autorità chiedono di applicare subito la patch o di isolare temporaneamente i siti. Le modifiche al firewall di Cloudflare sono una misura tampone e non sostituiscono la patch. Le vulnerabilità critiche di PHP e i siti esposti Gli sviluppatori di PHP hanno reso note il 20 ottobre due falle con un punteggio di gravità di 9,2 su 10.

Dinamiche di mercato

Le patch di sicurezza sono arrivate il 21 ottobre alle 10 del mattino, ora della costa orientale degli Stati Uniti (ET). La società di cybersicurezza watchTowr le descrive come vulnerabilità di esecuzione di codice da remoto. In pratica un aggressore può far girare il proprio codice sui server colpiti, con la possibilità di modificare i siti o rubare dati.

Secondo i funzionari, potrebbero essere interessate le versioni da PHP 5 in avanti. Il linguaggio di programmazione alimenta WordPress, Drupal, Joomla e Magento, oltre a piattaforme di hosting condiviso e pannelli di controllo, ha spiegato Huntress in un post sul blog. WordPress ha dichiarato nel 2025 di far funzionare oltre il 40 per cento di internet.

Un ricercatore di sicurezza stima che gli host connessi a internet probabilmente coinvolti siano più di 1,3 milioni. Siti governativi offline Il 21 ottobre enti governativi di Paesi Bassi e Finlandia hanno messo offline i propri siti per precauzione. L’agenzia olandese per la cybersicurezza ha spento anche il proprio sito a causa delle vulnerabilità.

Impatto sui mercati

Le agenzie di cybersicurezza di vari Paesi europei, dell’Australia, del Giappone e del Regno Unito invitano chi usa PHP ad aggiornare subito o a sospendere i siti finché non si può applicare la patch. Il CERT dell’Unione europea e il National Cyber Security Centre britannico consigliano alle organizzazioni che non riescono ad aggiornare subito di isolare dalle reti pubbliche le applicazioni esposte a internet, oppure di spegnerle. GrapheneOS ha chiuso temporaneamente il forum di discussione degli utenti, citando lo sviluppo di exploit proof-of-concept.

Lo sviluppatore di PHP Gina Peter Banyard ha detto che l’unica mitigazione è la patch e che spegnere i server può essere l’alternativa più sensata. Le prime avvisaglie Il direttore tecnico di Cloudflare, Dane Knecht, ha segnalato i primi attacchi. I ricercatori di minacce di Sansec si aspettavano «attacchi di massa entro 15 minuti dal rilascio».

Gli aggiornamenti automatici di WordPress non applicano la patch PHP Gli aggiornamenti automatici di WordPress non installano la patch di PHP, avverte Wordfence. Ogni sito WordPress gira su un server che usa PHP, quindi i proprietari devono scoprire chi gestisce gli aggiornamenti di PHP su quel server e far applicare il fix a mano. Per chi ha un sito esposto alle vulnerabilità critiche di PHP, il consiglio delle agenzie è chiaro: aggiornare subito oppure tenere offline i sistemi coinvolti finché non sono messi in sicurezza.

I mercati delle criptovalute seguono da vicino questo sviluppo, mentre gli investitori valutano il potenziale impatto sui prezzi.