In Breve
- Quali vulnerabilità sono state scoperte in PHP?
- Due vulnerabilità RCE, CVE-2026-109618 e CVE-2026-109619, con gravità 9,2/10.
- Cosa devono fare gli amministratori di sistema?
- Devono aggiornare immediatamente alle versioni corrette di PHP.
- Qual è il rischio associato a queste vulnerabilità?
- Il rischio è elevato per tutte le installazioni PHP che gestiscono richieste web.
Il team di PHP ha annunciato il rilascio di patch d’emergenza per due vulnerabilità di esecuzione remota di codice (RCE), invitando gli utenti a procedere con gli aggiornamenti senza indugi. Le vulnerabilità, identificate come CVE-2026-109618 e CVE-2026-109619, presentano un punteggio di gravità pari a 9,2 su 10, indicando un rischio elevato per le installazioni PHP.
Il primo problema, CVE-2026-109618, riguarda un bug nella gestione della memoria che può portare a situazioni di out-of-memory. Il secondo, CVE-2026-109619, è un errore di tipo use-after-free. Entrambi possono essere sfruttati da attaccanti per eseguire codice malevolo sui server vulnerabili.
Le correzioni sono state implementate nelle versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35 di PHP. Gli amministratori di sistema sono esortati a controllare la pagina di download di PHP per ottenere le build e i sorgenti aggiornati, in particolare per le distribuzioni Windows. Le versioni per Linux e i fornitori LTS hanno già ricevuto i pacchetti aggiornati, pertanto è consigliabile verificare con i rispettivi vendor la disponibilità degli aggiornamenti.
Il rischio è considerato elevato per tutte le installazioni PHP che gestiscono richieste web, inclusi PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed. In particolare, il modulo mod_php è stato identificato come particolarmente vulnerabile, in quanto è stato dimostrato che un exploit può essere attivato da una richiesta non autenticata prima dell’esecuzione del codice applicativo.
Due giorni prima del rilascio delle patch, sono emerse informazioni sulle vulnerabilità, e sono stati segnalati tentativi di sfruttamento nelle fasi iniziali. Di conseguenza, alcune amministrazioni pubbliche e servizi in Europa hanno deciso di sospendere temporaneamente i siti governativi, sanitari e scolastici per ridurre il rischio di attacchi.
Attualmente, si stima che oltre 5,1 milioni di installazioni PHP siano visibili online, con circa 3,8 milioni di esse che presentano almeno una porta aperta, rendendole potenzialmente vulnerabili. Le versioni PHP 8.1 e precedenti non riceveranno correzioni complete, ma sono stati forniti backport minimi per PHP 7.4, 8.0 e 8.1 per coloro che compilano da sorgente o non hanno accesso a un vendor LTS.
Per garantire la massima sicurezza, la misura più efficace è aggiornare alle versioni corrette. Per coloro che non possono effettuare l’aggiornamento immediatamente, si suggeriscono alcune mitigazioni parziali, tra cui:
- Impostare limiti di memoria appropriati e restringere la dimensione delle richieste in ingresso e degli upload di file.
- Utilizzare limiti dei container per contenere l’impatto di un worker vulnerabile.
- Disattivare il tracciamento dell’avanzamento degli upload di sessione.
- Abilitare i backtrace per gli errori fatali (su PHP 8.5).
- Correggere errori applicativi che possono causare crash o timeout.
- Evitare impostazioni obsolete che generano messaggi di errore prima dell’inizializzazione completa dell’applicazione.
Gli amministratori sono invitati a controllare le pagine ufficiali di download e i canali dei propri vendor per ottenere e installare i pacchetti aggiornati, garantendo così la sicurezza delle loro applicazioni e dei dati degli utenti.