In Breve
- Quali sono le vulnerabilità critiche rilasciate da PHP?
- PHP ha rilasciato patch per due vulnerabilità RCE, CVE-2026-109618 e CVE-2026-109619, con un punteggio di gravità di 9,2 su 10.
- Come posso proteggere il mio sito PHP?
- Aggiorna immediatamente alla versione più recente di PHP e applica le patch di sicurezza disponibili.
- Quali versioni di PHP sono interessate?
- Le versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35 sono state aggiornate; le versioni 8.1 e precedenti non riceveranno correzioni complete.
PHP ha recentemente annunciato il rilascio di patch d’emergenza per affrontare due vulnerabilità critiche di esecuzione remota di codice (RCE). Gli aggiornamenti sono stati resi disponibili per le versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35, e gli sviluppatori sono fortemente incoraggiati ad applicarli senza indugi.
Le vulnerabilità identificate, contrassegnate come CVE-2026-109618 e CVE-2026-109619, presentano un punteggio di gravità pari a 9,2 su 10. La prima riguarda un bug nella gestione della memoria che potrebbe portare a un crash del sistema, mentre la seconda è un errore di tipo use-after-free, che potrebbe consentire a un attaccante di eseguire codice malevolo.
Le patch sono già disponibili per le build e i sorgenti per Windows sulla pagina ufficiale di download di PHP. Le distribuzioni Linux e i fornitori LTS hanno ricevuto i pacchetti aggiornati in anticipo, e gli amministratori di sistema sono invitati a verificare con i propri fornitori la disponibilità degli aggiornamenti.
Il rischio associato a queste vulnerabilità è stato giudicato elevato per tutte le installazioni PHP che gestiscono richieste web, inclusi PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed. In particolare, il rischio è particolarmente alto per mod_php, dove è stato dimostrato che un exploit può essere attivato da una richiesta non autenticata, prima dell’esecuzione del codice applicativo.
Due giorni prima del rilascio delle patch, sono trapelate informazioni sulle vulnerabilità, e sono stati segnalati tentativi di sfruttamento nelle fasi iniziali. Di conseguenza, alcune amministrazioni e servizi pubblici in Europa hanno temporaneamente sospeso l’accesso a siti governativi, sanitari e scolastici per mitigare i rischi.
Attualmente, si stima che milioni di installazioni PHP siano vulnerabili, con oltre 5,1 milioni di host PHP visibili online e circa 3,8 milioni con almeno una porta aperta. È importante notare che le versioni PHP 8.1 e precedenti non riceveranno correzioni complete; tuttavia, sono stati forniti backport minimi per PHP 7.4, 8.0 e 8.1 per gli utenti che compilano da sorgente o che non hanno accesso a un fornitore LTS.
La soluzione più sicura è quella di aggiornare alle versioni corrette. Per coloro che non possono aggiornare immediatamente, sono suggerite alcune mitigazioni parziali, come impostare limiti di memoria appropriati, restringere la dimensione delle richieste in ingresso e degli upload di file, e disattivare il tracciamento dell’avanzamento degli upload di sessione. Inoltre, è consigliabile abilitare i backtrace per gli errori fatali su PHP 8.5 e correggere eventuali errori applicativi che potrebbero causare crash o timeout.
Gli amministratori di sistema sono invitati a controllare le pagine ufficiali di download e i canali dei propri fornitori per ottenere e installare i pacchetti aggiornati.
