In Breve

Quali sono le vulnerabilità critiche rilasciate da PHP?
PHP ha rilasciato patch per due vulnerabilità RCE, CVE-2026-109618 e CVE-2026-109619, con un punteggio di gravità di 9,2 su 10.
Quali versioni di PHP sono interessate?
Le correzioni sono disponibili per le versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35.
Cosa devono fare gli amministratori?
Gli amministratori devono aggiornare immediatamente i loro sistemi e possono applicare mitigazioni parziali se non possono aggiornare subito.

Il team di PHP ha recentemente annunciato il rilascio di patch d’emergenza per affrontare due vulnerabilità critiche di esecuzione remota di codice (RCE). Questi problemi, identificati come CVE-2026-109618 e CVE-2026-109619, hanno ricevuto un punteggio di gravità di 9,2 su 10, evidenziando il rischio elevato per le installazioni PHP esposte.

La vulnerabilità CVE-2026-109618 è collegata a un bug nella gestione della memoria che può causare un errore di out-of-memory, mentre CVE-2026-109619 riguarda un errore di tipo use-after-free. Entrambi i problemi possono essere sfruttati da attaccanti per eseguire codice malevolo sui server vulnerabili.

Le correzioni sono disponibili nelle versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35 di PHP. Gli amministratori sono fortemente incoraggiati ad aggiornare i propri sistemi il prima possibile. Le build e i sorgenti per Windows possono essere scaricati direttamente dalla pagina ufficiale di download di PHP, mentre i fornitori di distribuzioni Linux e LTS hanno già ricevuto i pacchetti aggiornati.

Il rischio è particolarmente elevato per le installazioni PHP che gestiscono richieste web, come PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed. In particolare, mod_php è stato identificato come estremamente vulnerabile, poiché un exploit dimostrato consente a una richiesta non autenticata di attivare l’attacco prima dell’esecuzione del codice applicativo.

Le informazioni sulle vulnerabilità sono trapelate solo due giorni prima del rilascio delle patch, portando a segnalazioni di tentativi di sfruttamento già in fase iniziale. Di conseguenza, alcune amministrazioni e servizi pubblici in Europa hanno deciso di sospendere temporaneamente i siti governativi, sanitari e scolastici per mitigare i rischi.

Attualmente, si stima che oltre 5,1 milioni di host PHP siano visibili online, con circa 3,8 milioni di questi che presentano almeno una porta aperta, rendendoli potenzialmente vulnerabili. È importante notare che le versioni PHP 8.1 e precedenti non riceveranno correzioni complete; tuttavia, sono stati forniti backport minimi per PHP 7.4, 8.0 e 8.1 per coloro che compilano da sorgente o non hanno accesso a un fornitore LTS.

Per garantire la massima sicurezza, l’aggiornamento alle versioni corrette è la misura più efficace. Per gli amministratori che non possono procedere con l’aggiornamento immediato, sono consigliate alcune mitigazioni parziali: impostare limiti di memoria adeguati, restringere la dimensione delle richieste in ingresso e degli upload di file, utilizzare limiti dei container per limitare l’impatto di un worker vulnerabile e disattivare il tracciamento dell’avanzamento degli upload di sessione. Inoltre, è consigliabile abilitare i backtrace per gli errori fatali (su PHP 8.5) e correggere eventuali errori applicativi che potrebbero causare crash o timeout.

Gli amministratori sono invitati a controllare regolarmente le pagine ufficiali di download e i canali dei propri fornitori per ottenere e installare i pacchetti aggiornati. La sicurezza delle installazioni PHP è fondamentale per prevenire attacchi e garantire un funzionamento affidabile dei servizi online.