In Breve
- Quali vulnerabilità sono state corrette da PHP?
- PHP ha corretto due vulnerabilità critiche di esecuzione remota di codice, CVE-2026-109618 e CVE-2026-109619.
- Qual è il punteggio di gravità delle vulnerabilità?
- Entrambe le vulnerabilità hanno un punteggio di gravità di 9,2 su 10.
- Cosa devono fare gli amministratori?
- Gli amministratori devono aggiornare immediatamente alle versioni corrette di PHP.
PHP ha recentemente rilasciato patch d’emergenza per affrontare due vulnerabilità critiche di esecuzione remota di codice (RCE), invitando tutti gli utenti a implementare gli aggiornamenti senza indugi. Le vulnerabilità, identificate come CVE-2026-109618 e CVE-2026-109619, presentano punteggi di gravità elevati, pari a 9,2 su 10, e possono compromettere gravemente la sicurezza delle installazioni PHP.
La prima vulnerabilità, CVE-2026-109618, è un bug nella gestione della memoria che può portare a situazioni di out-of-memory, mentre la seconda, CVE-2026-109619, è un errore di tipo use-after-free. Entrambi i problemi possono essere sfruttati da attaccanti per eseguire codice malevolo su server vulnerabili.
Le correzioni sono state rese disponibili nelle versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35 di PHP. Gli amministratori possono trovare le build e i sorgenti per Windows sulla pagina ufficiale di download di PHP. Inoltre, le distribuzioni Linux e i fornitori LTS hanno già ricevuto i pacchetti aggiornati, e si raccomanda agli amministratori di verificare con i propri fornitori la disponibilità degli aggiornamenti.
Il rischio per le installazioni PHP che gestiscono richieste web è stato classificato come elevato. Questo include configurazioni come PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed. In particolare, il mod_php presenta un rischio maggiore, poiché è stato dimostrato che un exploit può attivare un attacco non autenticato prima dell’esecuzione del codice applicativo.
Due giorni prima del rilascio delle patch, informazioni sulle vulnerabilità sono trapelate, portando a segnalazioni di tentativi di sfruttamento in fase iniziale. Di conseguenza, alcune amministrazioni e servizi pubblici in Europa hanno temporaneamente sospeso l’accesso a siti governativi, sanitari e scolastici per ridurre il rischio di attacchi.
Con oltre 5,1 milioni di installazioni PHP visibili online e circa 3,8 milioni di queste con almeno una porta aperta, il numero di sistemi potenzialmente vulnerabili è allarmante. È importante notare che le versioni PHP 8.1 e precedenti non riceveranno correzioni complete; tuttavia, sono stati forniti backport minimi per PHP 7.4, 8.0 e 8.1 per coloro che compilano da sorgente o non hanno accesso a un fornitore LTS.
La raccomandazione più sicura è quella di aggiornare alle versioni corrette. Per chi non può procedere immediatamente con l’aggiornamento, sono suggerite alcune mitigazioni parziali: impostare limiti di memoria appropriati, restringere la dimensione delle richieste in ingresso e degli upload di file, utilizzare limiti dei container per contenere l’impatto di un worker vulnerabile, disattivare il tracciamento dell’avanzamento degli upload di sessione e abilitare i backtrace per gli errori fatali su PHP 8.5. È inoltre fondamentale correggere errori applicativi che potrebbero causare crash o timeout e evitare impostazioni obsolete che generano messaggi di errore prima dell’inizializzazione completa dell’applicazione.
Gli amministratori sono fortemente incoraggiati a controllare le pagine ufficiali di download e i canali dei propri fornitori per ottenere e installare i pacchetti aggiornati, al fine di garantire la sicurezza delle loro installazioni PHP.
