Aggiornamenti di sicurezza critici per PHP: rilasciate nuove versioni in emergenza
23 Ottobre 2026 - Tempo di lettura: 10 minuti
Nelle ultime ore la community di PHP si sta mobilitando per affrontare una delle notizie più rilevanti dell'anno in materia di sicurezza web. Il PHP Core Team ha rilasciato aggiornamenti di sicurezza urgenti per correggere due gravi vulnerabilità di tipo Remote Code Execution (RCE).
Se gestisci server web o applicazioni basate su PHP (inclusi i principali CMS come WordPress, Drupal o framework come Laravel), ecco un riassunto di cosa sta succedendo e delle azioni da intraprendere subito.
🔍 Cosa sta succedendo?
Il team di sviluppo di PHP ha rilasciato le versioni di manutenzione straordinaria (8.5.12, 8.4.27, 8.3.36 e 8.2.35) per risolvere due falle di sicurezza critiche:
-
CVE-2026-109618 (RCE tramite Memory Corruption):
un problema nella gestione degli errori di memoria insufficiente (Out-of-Memory) durante la pulizia delle richieste. -
CVE-2026-109619 (RCE tramite Stale Global State):
una vulnerabilità legata allo stato globale residuo gestito dai worker che può consentire l'esecuzione di codice non autorizzato prima ancora dell'avvio dell'applicazione vera e propria.
I CERT europei ed internazionali hanno classificato il livello di rischio come alto/critico (CVSS ~9.2) in quanto l'attacco può essere eseguito da remoto senza necessità di autenticazione.
🛠️ Chi è interessato e quali configurazioni sono a rischio?
La vulnerabilità colpisce la maggior parte dei runtime web PHP:
-
PHP-FPM,
FrankenPHP, LiteSpeed, e Apache (in particolare le installazioni con mod_php). -
Tutte le versioni attive della serie 8.2, 8.3, 8.4 e 8.5 antecedenti alla patch rilasciata il 21-22 ottobre.
-
Le versioni non più supportate (End-of-Life, come PHP 7.x e 8.1) non riceveranno aggiornamenti ufficiali, motivo per cui è fondamentale passare a versioni supportate.
🚀 Cosa fare subito: la checklist per il tuo server
-
Aggiorna immediatamente i pacchetti PHP:
Verifica la versione in uso e aggiorna all'ultima patch disponibile fornita dal tuo provider o dalla tua distribuzione Linux ( apt upgrade,dnf update, o tramite la dashboard del tuo hosting). -
Svuota le cache dei container / riavvia i servizi:Dopo l'aggiornamento, assicurati di riavviare i servizi PHP-FPM o i container Docker/FrankenPHP interessati.
-
Verifica le versioni Legacy:Se utilizzi ancora versioni vecchie di PHP, considera l'aggiornamento a un ramo supportato (come PHP 8.4 o 8.5) o la migrazione verso provider che offrono supporto esteso (LTS).
💬 E voi avete già aggiornato i vostri server? Fatecelo sapere nei commenti qui sotto.
EU AI Act: primi limiti all'Intelligenza Artificiale ufficialmente in vigore dal 2025
3 Febbraio 2025 - Tempo di lettura: 19 minuti
L'Unione Europea ha compiuto un passo significativo nella regolamentazione dell'Intelligenza Artificiale (IA) con l'entrata in vigore dei primi limiti stabiliti dall'AI Act. Questa legge, la prima del suo genere a livello globale, mira a garantire che i sistemi di IA utilizzati in Europa siano sicuri, trasparenti, etici e non discriminatori.
Punti chiave:
- Classificazione dei sistemi di IA: L'AI Act classifica i sistemi di IA in base al loro livello di rischio, da "minimo" a "inaccettabile". I sistemi considerati ad alto rischio, come quelli utilizzati in settori critici come la sanità, i trasporti o le forze dell'ordine, sono soggetti a requisiti più stringenti.
- Divieti: L'AI Act vieta l'uso di determinate applicazioni di IA considerate troppo rischiose, come i sistemi di riconoscimento facciale biometrico in tempo reale in luoghi pubblici, i sistemi di manipolazione comportamentale o di classificazione sociale.
- Obblighi per i fornitori: I fornitori di sistemi di IA ad alto rischio devono conformarsi a una serie di obblighi, tra cui la valutazione dei rischi, la garanzia della qualità dei dati, la trasparenza degli algoritmi e la conformità a standard tecnici specifici.
- Sanzioni: In caso di mancato rispetto delle norme, sono previste sanzioni che possono arrivare fino al 6% del fatturato globale dell'azienda.
Implementazione:
L'implementazione dell'AI Act sarà graduale. I primi divieti e obblighi entreranno in vigore nel corso del 2025, mentre le disposizioni relative ai sistemi di IA ad alto rischio saranno applicate successivamente.
Impatto:
L'AI Act avrà un impatto significativo sullo sviluppo e l'utilizzo dell'IA in Europa. Si prevede che la legge promuoverà un approccio all'IA più responsabile e incentrato sull'utente, stimolando al contempo l'innovazione e la crescita economica nel settore.
In sintesi:
L'AI Act rappresenta una pietra miliare nella regolamentazione dell'Intelligenza Artificiale. La legge mira a bilanciare i benefici dell'IA con la necessità di proteggere i diritti fondamentali e la sicurezza dei cittadini. L'implementazione dell'AI Act richiederà un impegno congiunto da parte di governi, aziende e società civile per garantire che l'IA sia utilizzata in modo etico e responsabile.
VPN, queste sconosciute
30 Marzo 2023 - Tempo di lettura: 2 minuti
Devo essere sincero, ogni volta che vedo qualche pubblicità di questi servizi che vanno tanto di moda e che "sfruttano" il nome VPN mi ribolle il sangue.
Generalmente sono servizi che fondono insieme tecnologie di tipo anonymizer, obfuscation, proxy, in pratica si paga un abbonamento e si naviga frapponendo fra noi ed internet i loro server. Concettualmente niente a che vedere con quello che significa VPN.
"Scopo delle reti VPN è quello di offrire alle aziende, a un costo minore, le stesse possibilità delle linee private a noleggio, ma sfruttando reti condivise pubbliche: si può vedere dunque una VPN come l'estensione a livello geografico di una rete locale (LAN) privata aziendale sicura che colleghi tra loro siti interni all'azienda stessa variamente dislocati su un ampio territorio, sfruttando l'instradamento tramite IP per il trasporto su scala geografica e realizzando di fatto una rete LAN, detta appunto "virtuale" e "privata", equivalente a un'infrastruttura fisica di rete (ossia con collegamenti fisici) dedicata."
Mi sembra abbastanza chiaro che una VPN è a tutti gli effetti qualcosa di differente e l'uso della parola "VPN" in quei servizi è del tutto strumentale e non fa altro che generare confusione negli utenti.
L'immagine di copertina è tratta da Wikipedia
Attenzione alle truffe
19 Febbraio 2023 - Tempo di lettura: 2 minuti
L'esistenza di venditori online truffaldini non è certo una novità dell'ultima ora, ci sono stati, ci sono e purtroppo ci saranno sempre. Una delle regole che mi sono sempre dato è quella di fare acquisti solo da siti conosciuti o che per lo meno avessero certe caratteristiche (mi riferisco agli obblighi di legge ad esempio).
La storia di oggi invece mi ha un po' spiazzato, per due aspetti. Il primo perchè la truffa (perchè di questo si tratta) è veicolata da un grande portale di e-commerce, e secondo perchè è troppo sfrontata e palese.
Che ne direste di un SSD da 10 TB a 79€ ?
Lo so, state già facendo l'ordine ! Un prezzo assurdo per un SSD da 10 TB ! Così assurdo che infatti è una truffa bella e buona. Ci sono diversi blogger e youtuber che hanno voluto approfondire la questione, hanno acquistato l'apparecchio, lo hanno provato e lo hanno aperto. Ebbene, all'interno di un case, credo metallico, vi si trova una piccola scheda elettronica con interfaccia USB e, udite udite, una miserrima schedina SD da 64 GB.
Collegando l'apparecchio al computer viene rilevata come avesse una capacità di circa 8 TB (e questo è già strano), effettuando test di trasferimento file l'altra cosa che appare parecchio evidente è la lentezza, non certo quello che ci si aspetterebbe da un SSD. Sempre dalla copia di files poi ci si rende conto che una volta superata la reale capienza (i 64 GB per intendersi) tutti i files risulteranno illeggibili.
Nessuno incolpa la piattaforma di e-commerce dato che il venditore è un soggetto ospitato, quello che ci si aspetta adesso è che a seguito delle innumerevoli segnalazioni esso venga espulso, come minimo. Mi sarei aspettato però anche che la piattaforma, in casi così eclatanti, fosse un po' più reattiva.
Per finire non posso far altro che esortarvi a mantenere sempre alta la soglia di attenzione, fare sempre doppie verifiche e riscontrare pareri e recensioni.
Explorer: si chiude un'era
15 Febbraio 2023 - Tempo di lettura: ~1 minuto
Da ieri, 14 febbraio 2023, Microsoft chiude definitivamente questo capitolo storico, durato circa 28 anni, e chiamato Internet Explorer.
Internet Explorer raggiunse l'apice della popolarità nel 2004, quando conquistò una quota di mercato del 94%. In quel momento gli altri browsers alternativi erano ancora agli albori, stiamo parlando di Firefox di Mozilla o Safari di Apple.
Questo predominio fece accendere i riflettori delle autorità su Microsoft e furono intentate azioni legali per abuso di posizione dominante. Si giunse alla richiesta verso la società di rendere separato tale software dal resto del sistema, in modo che gli utenti non fossero costretti ad utilizzarlo, ma avessero la possibilità di scegliere.
Come sapete bene l'alternativa Microsoft a Explorer esiste già, dal 2015, e si chiama Edge ed oggi deve vedersela con il più diffuso Chrome di Google.
Devo dire che con la dipartita di Explorer finisce anche un'era travagliata per i programmatori web. Questi hanno dovuto fare i salti mortali per rendere funzionali le applicazioni web sui vari browsers e Explorer in questo era particolarmente ostico.
Nuovo aggiornamento per Google Chrome
8 Febbraio 2023 - Tempo di lettura: 32 minuti
Google ha rilasciato un aggiornamento del browser Chrome che va a risolvere 15 vulnerabilità di cui 3 classificate come "Alta".
E' ovviamente raccomandato di effettuare l'aggiornamento quanto prima.
Per riferimento si consulti il sito CSIRT: Avviso.
