In Breve
- Quali vulnerabilità sono state scoperte in PHP?
- Due vulnerabilità RCE, CVE-2026-109618 e CVE-2026-109619, con gravità 9,2/10.
- Quali versioni di PHP sono state aggiornate?
- Le versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35.
- Cosa devono fare gli amministratori?
- Aggiornare immediatamente alle versioni corrette o applicare mitigazioni parziali.
PHP ha recentemente rilasciato patch d’emergenza per due vulnerabilità di esecuzione remota di codice (RCE), invitando gli amministratori a implementare gli aggiornamenti senza indugi. Le vulnerabilità, identificate come CVE-2026-109618 e CVE-2026-109619, presentano un punteggio di gravità di 9,2 su 10, rendendo queste correzioni di massima urgenza.
Le versioni aggiornate, 8.5.12, 8.4.27, 8.3.36 e 8.2.35, sono ora disponibili per il download. Gli amministratori di sistemi Windows possono trovare le build e i sorgenti sulla pagina ufficiale di download di PHP, mentre le distribuzioni Linux e i fornitori LTS hanno già ricevuto i pacchetti aggiornati in anticipo. È fondamentale che gli amministratori verifichino con i propri fornitori la disponibilità di questi aggiornamenti.
Il rischio associato a queste vulnerabilità è stato giudicato elevato per tutte le installazioni PHP che gestiscono richieste web. Ciò include configurazioni comuni come PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed. In particolare, per mod_php è stato dimostrato un exploit che consente a una richiesta non autenticata di attivare l’attacco prima dell’esecuzione del codice applicativo.
Le informazioni sulle vulnerabilità sono trapelate due giorni prima del rilascio delle patch, portando a segnalazioni di tentativi di sfruttamento nelle fasi iniziali. In risposta a questa minaccia, alcune amministrazioni e servizi pubblici in Europa hanno temporaneamente sospeso i siti governativi, sanitari e scolastici per mitigare i rischi.
Si stima che milioni di installazioni PHP siano vulnerabili, con oltre 5,1 milioni di host PHP visibili online e circa 3,8 milioni con almeno una porta aperta. È importante notare che le versioni PHP 8.1 e precedenti non riceveranno correzioni complete, ma sono stati forniti backport minimi per PHP 7.4, 8.0 e 8.1 per coloro che compilano da sorgente o non hanno accesso a un fornitore LTS.
Per garantire la sicurezza, la misura più efficace è aggiornare alle versioni corrette. Per chi non può effettuare l’aggiornamento immediatamente, si raccomandano alcune mitigazioni parziali: impostare limiti di memoria appropriati, restringere la dimensione delle richieste in ingresso e degli upload di file, utilizzare limiti dei container per contenere l’impatto di un worker vulnerabile, disattivare il tracciamento dell’avanzamento degli upload di sessione e abilitare i backtrace per gli errori fatali (su PHP 8.5). È altresì importante correggere errori applicativi che possono causare crash o timeout e evitare impostazioni obsolete che generano messaggi di errore prima dell’inizializzazione completa dell’applicazione.
Gli amministratori sono fortemente invitati a controllare le pagine ufficiali di download e i canali dei propri fornitori per ottenere e installare i pacchetti aggiornati, al fine di proteggere le loro installazioni e prevenire potenziali attacchi.
