In Breve
- Quali vulnerabilità sono state corrette da PHP?
- PHP ha corretto due vulnerabilità critiche di esecuzione remota di codice, CVE-2026-109618 e CVE-2026-109619.
- Qual è il punteggio di gravità delle vulnerabilità?
- Entrambe le vulnerabilità hanno un punteggio di gravità di 9,2 su 10.
- Cosa devono fare gli amministratori?
- Gli amministratori devono aggiornare immediatamente alle versioni corrette o applicare mitigazioni parziali.
PHP ha recentemente annunciato il rilascio di patch d’emergenza per affrontare due vulnerabilità critiche di esecuzione remota di codice (RCE). Questi problemi, identificati come CVE-2026-109618 e CVE-2026-109619, presentano un punteggio di gravità di 9,2 su 10, rendendo l’aggiornamento delle versioni del software estremamente urgente.
Le correzioni sono disponibili nelle versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Gli utenti possono scaricare le build e i sorgenti per Windows dalla pagina ufficiale di download di PHP. Inoltre, le distribuzioni Linux e i fornitori di supporto a lungo termine (LTS) hanno già ricevuto i pacchetti aggiornati, e gli amministratori sono incoraggiati a verificare la disponibilità degli aggiornamenti con i propri fornitori.
Il rischio associato a queste vulnerabilità è stato classificato come elevato per tutte le installazioni PHP che gestiscono richieste web. Ciò include configurazioni come PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed. In particolare, mod_php è stato identificato come particolarmente vulnerabile a exploit che possono essere attivati da richieste non autenticate, consentendo attacchi prima dell’esecuzione del codice applicativo.
Due giorni prima del rilascio delle patch, informazioni sulle vulnerabilità erano trapelate, portando a segnalazioni di tentativi di sfruttamento. Di conseguenza, alcune amministrazioni e servizi pubblici in Europa hanno temporaneamente sospeso l’accesso a siti governativi, sanitari e scolastici per ridurre il rischio di attacchi.
Si stima che milioni di installazioni PHP possano essere vulnerabili, con oltre 5,1 milioni di host PHP visibili online e circa 3,8 milioni con almeno una porta aperta. Le versioni PHP 8.1 e precedenti non riceveranno correzioni complete, ma sono stati forniti backport minimi per PHP 7.4, 8.0 e 8.1 per coloro che compilano da sorgente o non hanno accesso a un fornitore LTS.
Per garantire la sicurezza, l’aggiornamento alle versioni corrette è la misura più efficace. Per chi non può aggiornare immediatamente, sono consigliate alcune mitigazioni parziali: impostare limiti di memoria appropriati, restringere la dimensione delle richieste in ingresso e degli upload di file, utilizzare limiti dei container per contenere l’impatto di un worker vulnerabile, disattivare il tracciamento dell’avanzamento degli upload di sessione e abilitare i backtrace per gli errori fatali su PHP 8.5. Inoltre, è fondamentale correggere errori applicativi che possono causare crash o timeout e evitare impostazioni obsolete che generano messaggi di errore prima dell’inizializzazione completa dell’applicazione.
Gli amministratori sono esortati a controllare le pagine ufficiali di download e i canali dei propri fornitori per ottenere e installare i pacchetti aggiornati.
