In Breve
- Quali vulnerabilità sono state corrette da PHP?
- PHP ha corretto due vulnerabilità critiche di esecuzione remota di codice, CVE-2026-109618 e CVE-2026-109619.
- Qual è il punteggio di gravità delle vulnerabilità?
- Entrambe le vulnerabilità hanno un punteggio di gravità di 9,2 su 10.
- Cosa devono fare gli amministratori?
- Gli amministratori devono aggiornare immediatamente alle versioni corrette di PHP.
Il team di PHP ha recentemente annunciato il rilascio di patch d’emergenza per due vulnerabilità di esecuzione remota di codice (RCE) che rappresentano un grave rischio per la sicurezza di milioni di installazioni. Le vulnerabilità, identificate come CVE-2026-109618 e CVE-2026-109619, hanno ricevuto un punteggio di gravità di 9,2 su 10, rendendole tra le più critiche mai segnalate.
Il primo problema, CVE-2026-109618, è un bug nella gestione della memoria che può portare a situazioni di out-of-memory, mentre il secondo, CVE-2026-109619, è un errore di tipo use-after-free. Entrambi i problemi possono essere sfruttati da attaccanti per eseguire codice malevolo su server vulnerabili.
Le correzioni sono state rilasciate nelle versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35 di PHP. Gli amministratori sono invitati a verificare la disponibilità degli aggiornamenti presso i rispettivi fornitori, in quanto le distribuzioni Linux e i fornitori LTS hanno già ricevuto i pacchetti aggiornati.
Il rischio è giudicato elevato per tutte le installazioni PHP che gestiscono richieste web, inclusi PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed. In particolare, il modulo mod_php è stato identificato come particolarmente vulnerabile, consentendo a richieste non autenticate di attivare attacchi prima dell’esecuzione del codice applicativo.
Due giorni prima del rilascio delle patch, informazioni sulle vulnerabilità sono trapelate, portando a segnalazioni di tentativi di sfruttamento. Di conseguenza, alcune amministrazioni e servizi pubblici in Europa hanno temporaneamente sospeso i siti governativi, sanitari e scolastici per mitigare il rischio.
Attualmente, si stima che oltre 5,1 milioni di host PHP siano visibili online, con circa 3,8 milioni di questi con almeno una porta aperta. Le versioni PHP 8.1 e precedenti non riceveranno correzioni complete, ma sono stati forniti backport minimi per PHP 7.4, 8.0 e 8.1 per coloro che compilano da sorgente o non hanno accesso a un vendor LTS.
La raccomandazione principale è di aggiornare alle versioni corrette il prima possibile. Per coloro che non possono aggiornare immediatamente, sono suggerite alcune mitigazioni parziali: impostare limiti di memoria appropriati, restringere la dimensione delle richieste in ingresso e degli upload di file, utilizzare limiti dei container per contenere l’impatto di un worker vulnerabile e disattivare il tracciamento dell’avanzamento degli upload di sessione. Inoltre, è consigliabile abilitare i backtrace per gli errori fatali su PHP 8.5 e correggere eventuali errori applicativi che potrebbero causare crash o timeout.
Gli amministratori sono esortati a controllare le pagine ufficiali di download e i canali dei propri fornitori per ottenere e installare i pacchetti aggiornati, garantendo così la sicurezza delle proprie applicazioni e dei dati degli utenti.
