In Breve
- Quali sono le vulnerabilità rilasciate da PHP?
- PHP ha rilasciato patch per due vulnerabilità critiche di esecuzione remota di codice, CVE-2026-109618 e CVE-2026-109619.
- Qual è il punteggio di gravità delle vulnerabilità?
- Entrambe le vulnerabilità hanno un punteggio di gravità di 9,2 su 10.
- Cosa devono fare gli amministratori di sistema?
- Gli amministratori devono aggiornare immediatamente le loro installazioni PHP e considerare misure di mitigazione se non possono aggiornare subito.
PHP ha recentemente annunciato il rilascio di patch d’emergenza per due vulnerabilità di esecuzione remota di codice (RCE) che potrebbero mettere a rischio milioni di installazioni in tutto il mondo. Le vulnerabilità, identificate come CVE-2026-109618 e CVE-2026-109619, presentano un punteggio di gravità di 9,2 su 10, rendendole particolarmente pericolose.
Il primo problema, CVE-2026-109618, è un bug nella gestione della memoria che può portare a situazioni di out-of-memory, mentre il secondo, CVE-2026-109619, è un errore di tipo use-after-free. Entrambi i problemi richiedono un intervento immediato da parte degli amministratori di sistema.
Le correzioni sono disponibili nelle versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35 di PHP. Gli aggiornamenti per Windows sono già stati resi disponibili sulla pagina di download ufficiale di PHP. Inoltre, le distribuzioni Linux e i fornitori LTS hanno ricevuto i pacchetti aggiornati in anticipo, invitando gli amministratori a verificare la disponibilità degli aggiornamenti con i rispettivi vendor.
Il rischio associato a queste vulnerabilità è particolarmente elevato per tutte le installazioni PHP che gestiscono richieste web, inclusi PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed. In particolare, mod_php è stato identificato come il più vulnerabile, poiché un exploit dimostrato consente a una richiesta non autenticata di attivare l’attacco prima dell’esecuzione del codice applicativo.
Due giorni prima del rilascio delle patch, sono trapelate informazioni sulle vulnerabilità e sono stati segnalati tentativi di sfruttamento iniziali. Di conseguenza, alcune amministrazioni pubbliche in Europa hanno deciso di sospendere temporaneamente i siti governativi, sanitari e scolastici per ridurre il rischio di attacchi.
In totale, si stima che oltre 5,1 milioni di host PHP siano visibili online, con circa 3,8 milioni di questi che presentano almeno una porta aperta. Le versioni PHP 8.1 e precedenti non riceveranno correzioni complete, ma sono stati forniti backport minimi per PHP 7.4, 8.0 e 8.1 per coloro che compilano da sorgente o non hanno accesso a un vendor LTS.
La raccomandazione principale è quella di aggiornare il prima possibile alle versioni corrette. Per coloro che non possono effettuare l’aggiornamento immediatamente, sono suggerite alcune misure di mitigazione: impostare limiti di memoria appropriati, restringere la dimensione delle richieste in ingresso e degli upload di file, utilizzare limiti dei container per contenere l’impatto di un worker vulnerabile, disattivare il tracciamento dell’avanzamento degli upload di sessione e abilitare i backtrace per gli errori fatali (su PHP 8.5). È anche importante correggere eventuali errori applicativi che potrebbero causare crash o timeout e evitare impostazioni obsolete che generano messaggi di errore prima dell’inizializzazione completa dell’applicazione.
Gli amministratori sono invitati a controllare le pagine ufficiali di download e i canali dei propri vendor per ottenere e installare i pacchetti aggiornati.
