In Breve
- Quali vulnerabilità sono state corrette da PHP?
- PHP ha corretto due vulnerabilità critiche di esecuzione remota di codice, CVE-2026-109618 e CVE-2026-109619.
- Qual è il punteggio di gravità delle vulnerabilità?
- Entrambe le vulnerabilità hanno un punteggio di gravità di 9,2 su 10.
- Cosa devono fare gli amministratori?
- Gli amministratori devono aggiornare immediatamente alle versioni corrette di PHP.
PHP ha recentemente rilasciato patch d’emergenza per affrontare due vulnerabilità critiche di esecuzione remota di codice (RCE). Gli amministratori di sistema sono invitati a implementare questi aggiornamenti senza indugi, poiché le vulnerabilità in questione sono state classificate con un punteggio di gravità di 9,2 su 10.
Le vulnerabilità identificate sono CVE-2026-109618, un bug nella gestione della memoria che può portare a un errore di out-of-memory, e CVE-2026-109619, un errore di tipo use-after-free. Le correzioni sono state incluse nelle versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35 di PHP. Gli amministratori possono trovare le build e i sorgenti per Windows sulla pagina di download ufficiale di PHP.
Le distribuzioni Linux e i fornitori LTS hanno ricevuto i pacchetti aggiornati in anticipo. È fondamentale che gli amministratori verifichino con i rispettivi vendor la disponibilità degli aggiornamenti, dato l’elevato rischio associato a tutte le installazioni PHP che gestiscono richieste web. Questo include PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed, con un rischio particolarmente alto per mod_php, dove è stato dimostrato un exploit che consente a una richiesta non autenticata di attivare l’attacco prima dell’esecuzione del codice applicativo.
Le informazioni sulle vulnerabilità sono trapelate due giorni prima del rilascio delle patch, con segnalazioni di tentativi di sfruttamento già in fase iniziale. In risposta, alcune amministrazioni e servizi pubblici in Europa hanno temporaneamente sospeso i siti governativi, sanitari e scolastici per mitigare i rischi.
Attualmente, milioni di installazioni PHP potrebbero risultare vulnerabili. Sono oltre 5,1 milioni gli host PHP visibili online, con circa 3,8 milioni che presentano almeno una porta aperta. È importante notare che le versioni PHP 8.1 e precedenti non riceveranno correzioni complete; tuttavia, sono stati forniti backport minimi per PHP 7.4, 8.0 e 8.1 per coloro che compilano da sorgente o non hanno accesso a un vendor LTS.
La soluzione più sicura è aggiornare alle versioni corrette. Per coloro che non possono procedere con l’aggiornamento immediato, si suggeriscono alcune mitigazioni parziali: impostare limiti di memoria appropriati, restringere la dimensione delle richieste in ingresso e degli upload di file, utilizzare limiti dei container per contenere l’impatto di un worker vulnerabile, disattivare il tracciamento dell’avanzamento degli upload di sessione e abilitare i backtrace per gli errori fatali (su PHP 8.5). È anche consigliabile correggere errori applicativi che potrebbero causare crash o timeout e evitare impostazioni obsolete che generano messaggi di errore prima dell’inizializzazione completa dell’applicazione.
In conclusione, gli amministratori devono controllare le pagine ufficiali di download e i canali dei propri vendor per ottenere e installare i pacchetti aggiornati. La sicurezza delle installazioni PHP è fondamentale per prevenire potenziali attacchi informatici.
