In Breve
- Quali vulnerabilità sono state corrette da PHP?
- PHP ha corretto due vulnerabilità critiche di esecuzione remota di codice, CVE-2026-109618 e CVE-2026-109619.
- Qual è il punteggio di gravità delle vulnerabilità?
- Entrambe le vulnerabilità hanno un punteggio di gravità di 9,2 su 10.
- Cosa devono fare gli amministratori?
- Gli amministratori devono aggiornare immediatamente alle versioni corrette di PHP per garantire la sicurezza.
PHP ha recentemente rilasciato patch d’emergenza per affrontare due vulnerabilità critiche di esecuzione remota di codice (RCE), invitando gli amministratori a implementare gli aggiornamenti senza indugi. Le vulnerabilità, identificate come CVE-2026-109618 e CVE-2026-109619, hanno ricevuto un punteggio di gravità di 9,2 su 10, rendendole estremamente pericolose per le installazioni PHP.
La prima vulnerabilità, CVE-2026-109618, è un difetto nella gestione della memoria che può portare a situazioni di out-of-memory, mentre la seconda, CVE-2026-109619, è un errore di tipo use-after-free. Le correzioni sono disponibili nelle versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35 di PHP. Gli amministratori possono scaricare le build e i sorgenti per Windows dalla pagina ufficiale di download di PHP.
Le distribuzioni Linux e i fornitori LTS hanno già ricevuto i pacchetti aggiornati. È fondamentale che gli amministratori verifichino con i propri vendor la disponibilità degli aggiornamenti per garantire la sicurezza delle loro installazioni.
Il rischio associato a queste vulnerabilità è stato classificato come elevato per tutte le installazioni PHP che gestiscono richieste web, inclusi PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed. In particolare, il modulo mod_php è stato identificato come particolarmente vulnerabile, con exploit già dimostrati che consentono a richieste non autenticate di attivare l’attacco prima dell’esecuzione del codice applicativo.
Le informazioni sulle vulnerabilità sono trapelate solo due giorni prima del rilascio delle patch, e sono già stati segnalati tentativi di sfruttamento. Questa situazione ha portato alcune amministrazioni e servizi pubblici in Europa a sospendere temporaneamente i siti governativi, sanitari e scolastici per ridurre il rischio di attacchi.
Si stima che milioni di installazioni PHP siano esposte, con oltre 5,1 milioni di host PHP visibili online e circa 3,8 milioni con almeno una porta aperta. È importante notare che le versioni PHP 8.1 e precedenti non riceveranno correzioni complete; tuttavia, sono stati forniti backport minimi per PHP 7.4, 8.0 e 8.1 per coloro che compilano da sorgente o non hanno accesso a un vendor LTS.
La soluzione più sicura è aggiornare alle versioni corrette. Per coloro che non possono aggiornare immediatamente, sono suggerite alcune mitigazioni parziali: impostare limiti di memoria appropriati, restringere la dimensione delle richieste in ingresso e degli upload di file, utilizzare limiti dei container per contenere l’impatto di un worker vulnerabile, disattivare il tracciamento dell’avanzamento degli upload di sessione e abilitare i backtrace per gli errori fatali (su PHP 8.5). Inoltre, è consigliabile correggere errori applicativi che potrebbero causare crash o timeout e evitare impostazioni obsolete che generano messaggi di errore prima dell’inizializzazione completa dell’applicazione.
Gli amministratori sono fortemente invitati a controllare le pagine ufficiali di download e i canali dei propri vendor per ottenere e installare i pacchetti aggiornati.
