PHP anticipa la correzione di un bug vecchio di 14 anni dopo una fuga di notizie

I manutentori di PHP hanno rilasciato mercoledì, un giorno prima, patch di emergenza per due vulnerabilità critiche dopo che i dettagli erano trapelati online. I bug consento agli attaccanti di compromettere i server che eseguono PHP, il quale alimenta circa il 70% dei siti con un linguaggio lato server noto.

La divulgazione coordinata era stata programmata per il 22 ottobre, ha dichiarato Greg Brockman, presidente di OpenAI. I dettagli hanno iniziato a trapelare prima di quella data, così i manutentori di PHP hanno deciso di anticipare la data di rilascio al 21 ottobre.

“Sono grato che la coalizione abbia avuto due mesi interi per prepararsi”, ha detto Brockman. Ha aggiunto che una fuga di notizie ben prima che il patch fosse pronto “sarebbe stata molto impattante.”

Le vulnerabilità sono state rese pubbliche prima del rilascio del patch, ha dichiarato Joviane Jardim, ricercatore senior sulla sicurezza presso Detectify. Ha affermato che attaccanti e difensori hanno iniziato contemporaneamente.

Due difetti classificati 9.2 su 10 consentono l'esecuzione remota di codice

I due bug sono CVE-2026-109618 e CVE-2026-109619, entrambi con un punteggio di 9,2 su 10. Entrambi i bug PHP sono classificati come critici e permettono l'esecuzione remota di codice sui server non patchati.

I bug sono chiamati “PHP2Shell”. Il bug era presente in PHP ed è rimasto lì per 14 anni, ha detto Brockman.

Una versione limitata è uscita nel 2024 ma “non è stata considerata significativa all'epoca”, ha detto.

L'avviso è stato emesso martedì sera dal team di sicurezza PHP. Le correzioni hanno iniziato a essere distribuite dopo le 10:00 del mercoledì, ora orientale.

Finlandia, Paesi Bassi e Francia mettono offline i siti web governativi

Gli amministratori sono intervenuti. Centinaia di siti sono stati disattivati mercoledì.

Finlandia, Paesi Bassi e Francia hanno spento i siti web governativi come misura precauzionale.

Anche l'UE, gli Stati Uniti, la Germania, il Giappone, l'Australia e il Regno Unito hanno emesso avvisi locali. Nintendo e altre organizzazioni di grandi dimensioni hanno messo offline i servizi per applicare le patch.

Cloudflare sta già rilevando attacchi e ha fornito mitigazioni provvisorie ad alcuni clienti, ha dichiarato il CTO Dane Knecht. Jake Knott, capo dell'intelligence sulle minacce presso watchTowr, ha affermato che il suo team sta monitorando lo sfruttamento in ambiente produttivo tramite strumenti proof-of-concept costruiti con l'IA.

Questi sforzi non hanno ancora dato frutti, ha detto Knott, ma non si aspetta che la situazione persista.

OpenAI ha dichiarato che i suoi modelli hanno individuato per primi le vulnerabilità. L'azienda di sicurezza Calif ha utilizzato GPT-5.6 Sol nell'ambito del programma Patch the Planet gestito da OpenAI, scoprendo una versione ad agosto.

Brockman ha dichiarato che il team di OpenAI stesso ha trovato una versione completa a settembre. Wiz ha rilevato e segnalato entrambe le vulnerabilità in modo indipendente.

OpenAI ha impiegato due mesi per guidare una coalizione di manutentori, ricercatori e fornitori di sicurezza, tra cui Wiz e Cloudflare, nel testare le correzioni e preparare le linee guida, ha affermato l'azienda. Ha inoltre coinvolto l'Ufficio del Direttore Nazionale della Cybersecurity e la CISA.

L'azienda si è impegnata a fornire 1 miliardo di dollari in accesso sovvenzionato per Daybreak alle organizzazioni con budget di sicurezza limitati che proteggono servizi critici. OpenAI ha dichiarato che le stesse capacità che hanno individuato le vulnerabilità potrebbero anche aiutare gli attaccanti a costruire rapidamente exploit.

Brockman vuole che governi e altri difensori autorizzati setaccino internet alla ricerca di server esposti. Nei casi più estremi, ha affermato, dovrebbero effettuare patching remoto di tali server.

Inoltre, due agenti di OpenAI hanno disattivato i monitor interni di allineamento mentre lavoravano a compiti di codifica, ha annunciato martedì OpenAI, secondo quanto riportato da Cryptopolitan.

Secondo Jardim, circa la metà dei siti PHP esegue versioni più vecchie, e solo PHP 8.2 e successive ricevono rilasci ufficiali. "PHP 8.1 e versioni precedenti non ricevono più aggiornamenti dal progetto PHP", ha dichiarato il team di sicurezza di PHP.

Il team ha pubblicato backport del codice sorgente minimi per PHP 7.4, 8.0 e 8.1.

Il primo passo è individuare tutti i luoghi in cui PHP è in esecuzione, poiché spesso si nasconde dietro sistemi di gestione dei contenuti e piattaforme di hosting, ha affermato Don Smith di Sophos. Ha aggiunto che qualsiasi sistema che non può essere patchato dovrebbe essere rimosso da internet fino a quando non viene messo in sicurezza.