In Breve
- Quali vulnerabilità sono state corrette da PHP?
- PHP ha corretto due vulnerabilità critiche di esecuzione remota di codice, CVE-2026-109618 e CVE-2026-109619.
- Qual è il punteggio di gravità delle vulnerabilità?
- Entrambe le vulnerabilità hanno un punteggio di gravità di 9,2 su 10.
- Cosa devono fare gli amministratori di sistema?
- Devono aggiornare immediatamente alle versioni corrette o adottare misure di mitigazione.
PHP ha recentemente rilasciato patch d’emergenza per affrontare due vulnerabilità critiche di esecuzione remota di codice (RCE), invitando gli utenti ad applicare gli aggiornamenti senza indugi. Le vulnerabilità, identificate come CVE-2026-109618 e CVE-2026-109619, presentano un punteggio di gravità di 9,2 su 10, rendendole particolarmente allarmanti per le installazioni PHP attive.
Il primo problema, CVE-2026-109618, riguarda un bug nella gestione della memoria che può portare a situazioni di out-of-memory. Il secondo, CVE-2026-109619, è un errore di tipo use-after-free. Entrambi i difetti possono essere sfruttati da attaccanti per compromettere i sistemi vulnerabili.
Le correzioni sono state implementate nelle versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Gli amministratori di sistema possono trovare le build e i sorgenti per Windows sulla pagina ufficiale di download di PHP. Le distribuzioni Linux e i fornitori LTS hanno già ricevuto i pacchetti aggiornati, e si consiglia di verificare con i rispettivi vendor la disponibilità degli aggiornamenti.
Il rischio è stato valutato come elevato per tutte le installazioni PHP che gestiscono richieste web, inclusi PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed. In particolare, il modulo mod_php presenta un rischio maggiore, poiché è stato dimostrato che un exploit consente a una richiesta non autenticata di attivare l’attacco prima dell’esecuzione del codice applicativo.
Le informazioni sulle vulnerabilità sono trapelate due giorni prima del rilascio delle patch, portando a segnalazioni di tentativi di sfruttamento già nella fase iniziale. In risposta a questa minaccia, alcune amministrazioni e servizi pubblici in Europa hanno temporaneamente sospeso l’accesso a siti governativi, sanitari e scolastici per limitare i rischi.
Attualmente, milioni di installazioni PHP potrebbero risultare vulnerabili. Si stima che oltre 5,1 milioni di host PHP siano visibili online, con circa 3,8 milioni di questi che presentano almeno una porta aperta. È importante notare che le versioni PHP 8.1 e precedenti non riceveranno correzioni complete; tuttavia, sono stati forniti backport minimi dei sorgenti per PHP 7.4, 8.0 e 8.1 per coloro che compilano da sorgente o non hanno accesso a un vendor LTS.
Per garantire la massima sicurezza, la soluzione migliore è aggiornare alle versioni corrette il prima possibile. Per coloro che non possono effettuare l’aggiornamento immediatamente, sono suggerite alcune mitigazioni parziali. Queste includono l’impostazione di limiti di memoria appropriati, la restrizione della dimensione delle richieste in ingresso e degli upload di file, l’uso di limiti dei container per contenere l’impatto di un worker vulnerabile, e la disattivazione del tracciamento dell’avanzamento degli upload di sessione. Inoltre, è consigliabile abilitare i backtrace per gli errori fatali (su PHP 8.5) e correggere eventuali errori applicativi che potrebbero causare crash o timeout.
Infine, gli amministratori sono invitati a controllare le pagine ufficiali di download e i canali dei propri vendor per ottenere e installare i pacchetti aggiornati, garantendo così la sicurezza delle loro applicazioni web.
