In Breve
- Quali vulnerabilità sono state corrette da PHP?
- PHP ha corretto due vulnerabilità RCE, CVE-2026-109618 e CVE-2026-109619, entrambe con gravità 9,2/10.
- Quali versioni di PHP sono state aggiornate?
- Le versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35 sono state rilasciate con le patch.
- Cosa devono fare gli amministratori?
- Gli amministratori devono aggiornare immediatamente alle versioni corrette o adottare mitigazioni parziali.
PHP ha recentemente annunciato il rilascio di patch d’emergenza per affrontare due vulnerabilità di esecuzione remota di codice (RCE), che rappresentano una seria minaccia per le installazioni PHP in tutto il mondo. Le vulnerabilità, identificate come CVE-2026-109618 e CVE-2026-109619, hanno ricevuto un punteggio di gravità di 9,2 su 10, evidenziando l’urgenza degli aggiornamenti.
Il primo problema, CVE-2026-109618, è un bug nella gestione della memoria che può causare un esaurimento della memoria (out-of-memory), mentre il secondo, CVE-2026-109619, è un errore di tipo use-after-free. Entrambi i difetti possono essere sfruttati da attaccanti per compromettere il sistema.
Le correzioni sono state rilasciate nelle versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Gli amministratori sono fortemente invitati a verificare la disponibilità degli aggiornamenti sui rispettivi vendor, in quanto le distribuzioni Linux e i fornitori LTS hanno già ricevuto i pacchetti aggiornati.
Il rischio è particolarmente elevato per tutte le installazioni PHP che gestiscono richieste web, inclusi PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed. In particolare, il modulo mod_php presenta un rischio maggiore, poiché è stato dimostrato che un attacco può essere attivato da una richiesta non autenticata, prima dell’esecuzione del codice applicativo.
Due giorni prima del rilascio delle patch, sono trapelate informazioni sulle vulnerabilità, portando a segnalazioni di tentativi di sfruttamento in fase iniziale. Di conseguenza, alcune amministrazioni e servizi pubblici in Europa hanno deciso di sospendere temporaneamente i siti governativi, sanitari e scolastici per ridurre il rischio di attacchi.
Con oltre 5,1 milioni di host PHP visibili online e circa 3,8 milioni con almeno una porta aperta, milioni di installazioni potrebbero risultare vulnerabili. Le versioni PHP 8.1 e precedenti non riceveranno correzioni complete, ma sono stati forniti backport minimi per PHP 7.4, 8.0 e 8.1 per coloro che compilano da sorgente o non hanno accesso a un vendor LTS.
Per garantire la sicurezza, la misura più efficace è quella di aggiornare alle versioni corrette. Per chi non può effettuare l’aggiornamento immediatamente, si consigliano alcune mitigazioni parziali: impostare limiti di memoria appropriati, restringere la dimensione delle richieste in ingresso e degli upload di file, utilizzare limiti dei container per contenere l’impatto di un worker vulnerabile e disattivare il tracciamento dell’avanzamento degli upload di sessione. Inoltre, è consigliabile abilitare i backtrace per gli errori fatali su PHP 8.5 e correggere errori applicativi che potrebbero causare crash o timeout.
Gli amministratori sono esortati a controllare le pagine ufficiali di download e i canali dei propri vendor per ottenere e installare i pacchetti aggiornati il prima possibile.
