Riflessioni sugli aggiornamenti di sicurezza di PHP del 21 ottobre 2026

La nostra azienda lavora con tecnologie open source consolidate che chiunque può esaminare e verificare, e ci preoccupiamo costantemente della sicurezza e della continuità operativa delle applicazioni che forniamo ai nostri clienti. Tuttavia, queste tecnologie sono tutt’altro che prive di errori, per questo dedichiamo tempo e risorse alla gestione degli aggiornamenti di sicurezza delle tecnologie che utilizziamo.

Il 21 ottobre 2026 sono state rilasciate patch d’emergenza per due vulnerabilità critiche di PHP, corrispondenti agli avvisi di sicurezza CVE-2026-109618 e CVE-2026-109619. CVE significa “Common Vulnerabilities and Exposures” ed è un catalogo di vulnerabilità di sicurezza pubblicamente note in applicazioni software e componenti hardware.

Abbiamo avuto conoscenza di questa informazione alle 11:40 di mercoledì e abbiamo immediatamente inviato un avviso a tutti i nostri clienti sul rischio che comportava. Abbiamo adottato le seguenti misure, con orari approssimativi:

11:45 CLST / 14:45 UTC: Aggiornamento massivo di PHP e di altri strumenti su tutti i server pubblici che contengono informazioni dei nostri clienti e sono sotto il nostro controllo. Sui server Rocky Linux è stato aggiornato a PHP 8.5.12, sui server Ubuntu Linux a 8.5.4-0ubuntu1.5.

12:00 CLST / 15:00 UTC: Riavvio di tutti i server pubblici che contengono informazioni dei nostri clienti e sono sotto il nostro controllo, con un’interruzione del servizio di 15 minuti.

15:00 CLST / 18:00 UTC: È iniziata l’analisi di tutti i log delle applicazioni, raccolti dai servizi di monitoraggio di cui disponiamo, che si è conclusa il 30 ottobre 2026 senza rilevare alcun indizio di problemi di sicurezza.

Le interruzioni del servizio sono ammontate complessivamente a 30 minuti: 15 minuti per l’aggiornamento di PHP e 15 minuti per quello delle applicazioni.

Le piattaforme che sviluppiamo operano dietro un Web Application Firewall che ammette solo un insieme di dati valido per ciascun sito, riducendo la superficie di attacco. Tuttavia, la protezione principale contro questo tipo di falle di sicurezza è l’aggiornamento del software, applicato al 100%. Applichiamo inoltre aggiornamenti di sicurezza alle applicazioni che girano su PHP, con un tempo di indisponibilità calcolato di 15 minuti. Questo aggiornamento viene effettuato periodicamente e in modo automatizzato, ma disponiamo dei mezzi per eseguirlo manualmente e verificarne i risultati.

Un solo servizio è rimasto non disponibile più a lungo del necessario, a causa delle politiche proprie di conservazione delle informazioni dell’organizzazione che lo gestisce. Tuttavia, anche l’audit condotto su questo servizio non ha rilevato tentativi di sfruttamento andati a buon fine.

La nostra azienda resta impegnata nello sviluppo di prodotti e servizi di eccellenza per i propri clienti. Per qualsiasi domanda, non esitate a contattarci attraverso i nostri canali istituzionali.