In Breve
- Quali vulnerabilità sono state corrette da PHP?
- PHP ha corretto due vulnerabilità critiche di esecuzione remota di codice, CVE-2026-109618 e CVE-2026-109619.
- Qual è il punteggio di gravità delle vulnerabilità?
- Entrambe le vulnerabilità hanno un punteggio di gravità di 9,2 su 10.
- Cosa devono fare gli amministratori di sistema?
- Gli amministratori devono aggiornare le loro installazioni PHP alle versioni corrette il prima possibile.
In un recente annuncio, PHP ha rilasciato patch d’emergenza per due vulnerabilità critiche di esecuzione remota di codice (RCE). Questi problemi, identificati come CVE-2026-109618 e CVE-2026-109619, presentano un punteggio di gravità di 9,2 su 10, il che li rende particolarmente preoccupanti per gli amministratori di sistema e gli sviluppatori.
La vulnerabilità CVE-2026-109618 riguarda un errore nella gestione della memoria che può portare a un out-of-memory, mentre CVE-2026-109619 è un errore di tipo use-after-free. Entrambi i problemi possono essere sfruttati per compromettere la sicurezza delle applicazioni web basate su PHP.
Le correzioni sono state implementate nelle versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Gli amministratori sono fortemente invitati ad aggiornare le loro installazioni il prima possibile. Le build e i sorgenti per Windows sono disponibili sulla pagina di download ufficiale di PHP, mentre le distribuzioni Linux e i fornitori LTS hanno già ricevuto i pacchetti aggiornati.
Il rischio è considerato elevato per tutte le installazioni PHP che gestiscono richieste web, inclusi PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed. In particolare, mod_php è stato identificato come particolarmente vulnerabile, con exploit già dimostrati che consentono a richieste non autenticate di attivare attacchi prima dell’esecuzione del codice applicativo.
Due giorni prima del rilascio delle patch, sono trapelate informazioni sulle vulnerabilità, portando a segnalazioni di tentativi di sfruttamento già in fase iniziale. Di conseguenza, alcune amministrazioni e servizi pubblici in Europa hanno temporaneamente sospeso i siti governativi, sanitari e scolastici per mitigare il rischio.
Con oltre 5,1 milioni di host PHP visibili online e circa 3,8 milioni con almeno una porta aperta, milioni di installazioni potrebbero risultare vulnerabili. È importante notare che le versioni PHP 8.1 e precedenti non riceveranno correzioni complete, sebbene siano stati forniti backport minimi per PHP 7.4, 8.0 e 8.1 per coloro che compilano da sorgente o non hanno accesso a un vendor LTS.
La misura più sicura è aggiornare alle versioni corrette. Per coloro che non possono aggiornare immediatamente, si raccomandano alcune mitigazioni parziali: impostare limiti di memoria appropriati, restringere la dimensione delle richieste in ingresso e degli upload di file, utilizzare limiti dei container per contenere l’impatto di un worker vulnerabile, disattivare il tracciamento dell’avanzamento degli upload di sessione e abilitare i backtrace per gli errori fatali (su PHP 8.5). È altresì consigliato correggere errori applicativi che possono causare crash o timeout e evitare impostazioni obsolete che generano messaggi di errore prima dell’inizializzazione completa dell’applicazione.
Gli amministratori devono controllare le pagine ufficiali di download e i canali dei propri vendor per ottenere e installare i pacchetti aggiornati. La sicurezza delle applicazioni web è una priorità e l’aggiornamento tempestivo è fondamentale per proteggere i dati e la privacy degli utenti.
