In Breve
- Quali sono le vulnerabilità critiche rilasciate da PHP?
- PHP ha rilasciato patch per due vulnerabilità RCE, CVE-2026-109618 e CVE-2026-109619, con gravità 9,2/10.
- Quali versioni di PHP sono state aggiornate?
- Le patch sono disponibili per le versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35.
- Cosa devono fare gli amministratori?
- Gli amministratori devono aggiornare alle versioni corrette o applicare misure di mitigazione se non possono aggiornare subito.
PHP ha recentemente rilasciato patch d’emergenza per affrontare due vulnerabilità critiche di esecuzione remota di codice (RCE), invitando gli utenti a implementare gli aggiornamenti senza indugi. Le vulnerabilità identificate, contrassegnate come CVE-2026-109618 e CVE-2026-109619, hanno ricevuto un punteggio di gravità pari a 9,2 su 10, indicando un rischio elevato per le installazioni PHP.
Le correzioni sono disponibili nelle versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35, con build e sorgenti per Windows accessibili sulla pagina di download ufficiale di PHP. Gli amministratori di sistemi Linux e i fornitori di Long Term Support (LTS) hanno già ricevuto i pacchetti aggiornati. È fondamentale che gli amministratori verifichino con i propri fornitori la disponibilità di questi aggiornamenti.
Il rischio è stato giudicato particolarmente elevato per tutte le installazioni PHP che gestiscono richieste web, inclusi PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed. Il rischio è maggiore per mod_php, dove è stato dimostrato che un exploit può attivare un attacco tramite una richiesta non autenticata prima dell’esecuzione del codice applicativo. Informazioni sulle vulnerabilità sono trapelate due giorni prima del rilascio delle patch, portando a segnalazioni di tentativi di sfruttamento nelle fasi iniziali. Di conseguenza, alcune amministrazioni e servizi pubblici in Europa hanno temporaneamente sospeso l’accesso a siti governativi, sanitari e scolastici per mitigare il rischio.
Attualmente, si stima che milioni di installazioni PHP siano vulnerabili, con oltre 5,1 milioni di host PHP visibili online e circa 3,8 milioni con almeno una porta aperta. È importante notare che le versioni PHP 8.1 e precedenti non riceveranno correzioni complete; tuttavia, sono stati forniti backport minimi dei sorgenti per PHP 7.4, 8.0 e 8.1 per coloro che compilano da sorgente o non hanno accesso a un fornitore LTS.
La soluzione più sicura è quella di aggiornare alle versioni corrette. Per coloro che non possono aggiornare immediatamente, sono suggerite alcune misure di mitigazione parziale: impostare limiti di memoria adeguati, restringere la dimensione delle richieste in ingresso e degli upload di file, utilizzare limiti dei container per contenere l’impatto di un worker vulnerabile, disattivare il tracciamento dell’avanzamento degli upload di sessione e abilitare i backtrace per gli errori fatali (su PHP 8.5). Inoltre, è consigliabile correggere errori applicativi che potrebbero causare crash o timeout e evitare impostazioni obsolete che generano messaggi di errore prima dell’inizializzazione completa dell’applicazione. Gli amministratori sono invitati a controllare le pagine ufficiali di download e i canali dei propri fornitori per ottenere e installare i pacchetti aggiornati.
