In Breve
- Quali vulnerabilità sono state corrette da PHP?
- PHP ha corretto due vulnerabilità critiche di esecuzione remota di codice, CVE-2026-109618 e CVE-2026-109619.
- Qual è il punteggio di gravità delle vulnerabilità?
- Entrambe le vulnerabilità hanno un punteggio di gravità di 9,2 su 10.
- Cosa devono fare gli amministratori?
- Gli amministratori devono aggiornare immediatamente alle versioni corrette o adottare misure di mitigazione.
PHP ha recentemente annunciato il rilascio di patch d’emergenza per due vulnerabilità di esecuzione remota di codice (RCE), invitando gli utenti a implementare gli aggiornamenti senza indugi. Le vulnerabilità, identificate come CVE-2026-109618 e CVE-2026-109619, hanno ricevuto un punteggio di gravità di 9,2 su 10, evidenziando il loro potenziale rischio per la sicurezza.
Le correzioni sono disponibili nelle versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Gli utenti possono scaricare le build e i sorgenti per Windows direttamente dalla pagina ufficiale di download di PHP. Le distribuzioni Linux e i fornitori LTS hanno già ricevuto i pacchetti aggiornati, e gli amministratori sono esortati a verificare la disponibilità degli aggiornamenti con i propri fornitori.
Il rischio associato a queste vulnerabilità è considerato elevato per tutte le installazioni PHP che gestiscono richieste web. Ciò include ambienti come PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed. In particolare, il modulo mod_php presenta un rischio maggiore, poiché un exploit dimostrato consente a una richiesta non autenticata di innescare l’attacco prima dell’esecuzione del codice applicativo.
Due giorni prima del rilascio delle patch, informazioni sulle vulnerabilità sono trapelate, portando a segnalazioni di tentativi di sfruttamento già nella fase iniziale. Di conseguenza, alcune amministrazioni e servizi pubblici in Europa hanno deciso di sospendere temporaneamente l’accesso a siti governativi, sanitari e scolastici per mitigare il rischio.
Attualmente, milioni di installazioni PHP potrebbero risultare vulnerabili, con oltre 5,1 milioni di host PHP visibili online e circa 3,8 milioni con almeno una porta aperta. È importante notare che le versioni PHP 8.1 e precedenti non riceveranno correzioni complete, anche se sono stati forniti backport minimi per PHP 7.4, 8.0 e 8.1 per coloro che compilano da sorgente o non hanno accesso a un fornitore LTS.
La raccomandazione principale è di aggiornare alle versioni corrette il prima possibile. Per coloro che non possono effettuare l’aggiornamento immediatamente, si suggeriscono alcune misure di mitigazione parziale: impostare limiti di memoria adeguati, restringere la dimensione delle richieste in ingresso e degli upload di file, utilizzare limiti dei container per contenere l’impatto di un worker vulnerabile, disattivare il tracciamento dell’avanzamento degli upload di sessione e abilitare i backtrace per gli errori fatali (su PHP 8.5). Inoltre, è fondamentale correggere eventuali errori applicativi che potrebbero causare crash o timeout e evitare impostazioni obsolete che generano messaggi di errore prima dell’inizializzazione completa dell’applicazione.
Gli amministratori sono invitati a controllare le pagine ufficiali di download e i canali dei propri fornitori per ottenere e installare i pacchetti aggiornati.
