In Breve
- Quali vulnerabilità ha rilasciato PHP?
- PHP ha rilasciato patch per due vulnerabilità RCE, CVE-2026-109618 e CVE-2026-109619, entrambe con gravità 9,2/10.
- Quando sono state rilasciate le patch?
- Le patch sono state rilasciate il 22 ottobre 2026.
- Cosa devono fare gli amministratori?
- Gli amministratori devono aggiornare alle versioni corrette di PHP il prima possibile e considerare mitigazioni parziali se non possono aggiornare.
PHP ha recentemente rilasciato patch d’emergenza per due vulnerabilità di esecuzione remota di codice (RCE) che potrebbero mettere a rischio milioni di installazioni in tutto il mondo. Le vulnerabilità, identificate come CVE-2026-109618 e CVE-2026-109619, presentano un punteggio di gravità di 9,2 su 10, rendendole particolarmente pericolose per i sistemi che gestiscono richieste web.
La prima vulnerabilità, CVE-2026-109618, riguarda un bug nella gestione della memoria che può portare a un errore di esaurimento della memoria (out-of-memory). La seconda, CVE-2026-109619, è un errore di tipo use-after-free. Entrambi i problemi sono stati considerati di alta gravità e richiedono un’azione immediata da parte degli amministratori di sistema.
Le correzioni sono disponibili nelle versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35 di PHP. Le build e i sorgenti per Windows possono essere scaricati dalla pagina ufficiale di download di PHP. Le distribuzioni Linux e i fornitori di supporto a lungo termine (LTS) hanno già ricevuto i pacchetti aggiornati, e si consiglia agli amministratori di verificare con i rispettivi vendor la disponibilità degli aggiornamenti.
Il rischio è stato giudicato elevato per tutte le installazioni PHP che gestiscono richieste web, inclusi PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed. In particolare, il modulo mod_php presenta un rischio maggiore, poiché è stato dimostrato che un exploit può attivare un attacco non autenticato prima dell’esecuzione del codice applicativo. Informazioni sulle vulnerabilità sono trapelate due giorni prima del rilascio delle patch, e sono già stati segnalati tentativi di sfruttamento nelle fasi iniziali. Di conseguenza, alcune amministrazioni e servizi pubblici in Europa hanno temporaneamente sospeso siti governativi, sanitari e scolastici per mitigare il rischio.
Si stima che oltre 5,1 milioni di host PHP siano visibili online, di cui circa 3,8 milioni con almeno una porta aperta, rendendo milioni di installazioni vulnerabili. È importante notare che le versioni PHP 8.1 e precedenti non riceveranno correzioni complete; tuttavia, sono stati forniti backport minimi dei sorgenti per PHP 7.4, 8.0 e 8.1 per coloro che compilano da sorgente o non hanno accesso a un vendor LTS.
La misura più sicura è quella di aggiornare alle versioni corrette il prima possibile. Per coloro che non possono effettuare l’aggiornamento immediatamente, sono suggerite alcune mitigazioni parziali: impostare limiti di memoria appropriati, restringere la dimensione delle richieste in ingresso e degli upload di file, utilizzare limiti dei container per contenere l’impatto di un worker vulnerabile e disattivare il tracciamento dell’avanzamento degli upload di sessione. È inoltre consigliabile abilitare i backtrace per gli errori fatali (su PHP 8.5), correggere eventuali errori applicativi che possono causare crash o timeout e evitare impostazioni obsolete che generano messaggi di errore prima dell’inizializzazione completa dell’applicazione.
Gli amministratori sono invitati a controllare le pagine ufficiali di download e i canali dei propri vendor per ottenere e installare i pacchetti aggiornati.
