21 ottobre: falla di sicurezza PHP, cosa è successo e qual è la situazione attuale

Mercoledì 21 ottobre sono state rese note due gravi falle di sicurezza in PHP, il linguaggio di programmazione su cui gira la stragrande maggioranza dei siti web, tra cui WordPress. Forse Lei se n'è accorto, poiché per parte della giornata i siti web presso di noi sono rimasti offline. In questo articolo riassumiamo cosa è successo, come abbiamo agito e qual è la situazione attuale.

Cosa è successo?

Le falle (CVE-2026-109618 e CVE-2026-109619) rendevano possibile per persone non autorizzate eseguire codice su un server web. Si tratta pressoché del peggior tipo di falla esistente: un aggressore non ha bisogno di alcuna password e riguarda praticamente tutta la rete internet.

Come abbiamo agito

1. Misura temporaneamercoledì 21 ottobre, 10:00

   In quel momento era noto solamente che vi erano due gravi falle in tutte le versioni di PHP, con un punteggio CVE di 9,2. I dettagli non erano ancora disponibili e non erano ancora noti attacchi riusciti, sebbene ad esempio Cloudflare registrasse un numero crescente di tentativi. Poiché i dettagli della falla non erano noti, nessuno sapeva esattamente di cosa si trattasse e cosa si potesse fare per limitare il rischio. Man mano venivano rese note sempre più mitigazioni e possibili azioni per limitare il rischio. Le abbiamo sempre applicate immediatamente, come la disattivazione di determinate funzioni PHP e l'aggiornamento del firewall in più occasioni.
   A partire dalle 10:00 abbiamo inoltre fatto eseguire in continuazione scansioni antimalware molto rigorose, in modo da individuare subito se da qualche parte fosse stato caricato uno script sui nostri server o negli account dei nostri clienti. Ciò non è accaduto.

2. Siti web offlinemercoledì 21 ottobre, 15:15

   Sebbene non avessimo riscontrato tentativi di abuso sui nostri server, abbiamo deciso di optare per la soluzione più sicura: mettere tutto offline. Il motivo principale è che nutrivamo dubbi sull'efficacia delle mitigazioni (soluzioni temporanee) che circolavano in rete, poiché nessuno poteva confermare che offrissero una protezione sufficiente.
   In una situazione con così tante incertezze e con conseguenze potenzialmente enormi, alcune ore di inattività sono giustificabili; correre il rischio no.

3. Soluzione ufficialemercoledì 21 ottobre, 16:00

   Gli sviluppatori di PHP hanno rilasciato l'aggiornamento ufficiale contenente la correzione per le versioni 8.3, 8.4 e 8.5. Successivamente restava da attendere i pacchetti aggiornati da parte di CloudLinux, il fornitore delle versioni PHP presenti sui nostri server.
   Con la pubblicazione dell'aggiornamento sono stati resi noti anche i dettagli delle vulnerabilità, confermando il nostro sospetto: le mitigazioni note e le regole firewall aggiuntive riducevano certamente il rischio di un attacco, ma non erano sufficienti a proteggere il server.

4. Soluzione temporaneamercoledì 21 ottobre, 19:00

   Purtroppo ci è voluto molto più tempo di quanto sperassimo e ci aspettassimo prima che CloudLinux avesse pronti gli aggiornamenti. Dai contatti con altri provider è emerso che non eravamo gli unici ad essere stati colti di sorpresa. Vedendo che avevano già mancato più volte le scadenze da loro stessi fissate, abbiamo lavorato a una soluzione temporanea.
   Abbiamo installato noi stessi la versione PHP 8.3.36 su tutti i nostri server e abbiamo impostato temporaneamente tutti i nostri clienti su questa versione. Il 90% dei siti web è tornato online tra le 19:00 e le 20:30. Gli unici siti web che non sono tornati online erano obsoleti e non erano in grado di funzionare con una versione moderna di PHP.

5. Aggiornamentogiovedì 22 ottobre, 00:30

   Gli aggiornamenti sono diventati disponibili e abbiamo iniziato immediatamente a installarli e verificarli, server per server.

6. Risoltogiovedì 22 ottobre, 02:30

   Tutti i server erano stati aggiornati e tutti i siti web erano di nuovo online, sulla versione PHP che utilizzavano in precedenza.

Comprendiamo bene quanto sia fastidioso se il Suo sito web risulta irraggiungibile per un pomeriggio e una serata. Questo disagio, tuttavia, non è paragonabile alle possibili conseguenze. Non avevamo mai dovuto prima d'ora decidere di mettere tutto offline per precauzione, ma se la stessa situazione dovesse ripresentarsi, agiremmo esattamente allo stesso modo.

Qual è la situazione attuale?

• Tutte le versioni PHP da noi offerte, dalla 5.2 fino alla 8.5, contengono le correzioni di sicurezza per entrambe le falle.
• I pochi siti web che utilizzavano una versione PHP ancora più datata, per cui non esiste alcuna correzione, sono stati spostati su una versione corretta.
• Durante e dopo la falla abbiamo controllato i server alla ricerca di tracce di abuso, come processi PHP bloccati, processi sospetti, file caricati e richieste corrispondenti all'attacco noto. Non abbiamo trovato alcuna indicazione che la falla sia stata sfruttata sui nostri server, e anche prima di mettere tutto offline non sono stati rilevati tentativi in tal senso.

Il mio sito web è separato da quelli di altri?

Sì. Ogni pacchetto hosting gira presso di noi in un ambiente proprio e isolato. PHP viene eseguito sotto l'utente del Suo pacchetto, senza diritti amministrativi sul server, e non può accedere ai file o ai database di altri clienti. Anche l'utilizzo di processore e memoria è limitato per ciascun pacchetto. Ulteriori dettagli sulla nostra sicurezza non vengono condivisi pubblicamente di proposito: meno un aggressore sa, meglio è.