In Breve
- Quali vulnerabilità sono state corrette da PHP?
- PHP ha corretto due vulnerabilità critiche di esecuzione remota di codice, CVE-2026-109618 e CVE-2026-109619.
- Qual è la gravità delle vulnerabilità?
- Entrambe le vulnerabilità hanno un punteggio di gravità di 9,2 su 10.
- Cosa devono fare gli amministratori di sistema?
- Devono aggiornare immediatamente alle versioni corrette di PHP per mitigare i rischi.
Il team di PHP ha recentemente annunciato il rilascio di patch d’emergenza per due vulnerabilità critiche di esecuzione remota di codice (RCE), invitando tutti gli utenti a implementare gli aggiornamenti senza indugi. Le vulnerabilità, identificate come CVE-2026-109618 e CVE-2026-109619, presentano un punteggio di gravità di 9,2 su 10, indicando un rischio elevato per le installazioni PHP.
Le correzioni sono disponibili nelle versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Gli amministratori di sistema possono scaricare le build e i sorgenti per Windows dalla pagina ufficiale di download di PHP. Le distribuzioni Linux e i fornitori LTS hanno già ricevuto i pacchetti aggiornati, e si raccomanda di verificare con i rispettivi vendor la disponibilità delle patch.
Il rischio è particolarmente elevato per le installazioni PHP che gestiscono richieste web, come PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed. È stato dimostrato che un exploit consente a una richiesta non autenticata di attivare l’attacco prima dell’esecuzione del codice applicativo. Due giorni prima del rilascio delle patch, sono trapelate informazioni sulle vulnerabilità, portando alcune amministrazioni e servizi pubblici in Europa a sospendere temporaneamente i siti governativi, sanitari e scolastici per mitigare i rischi.
Con oltre 5,1 milioni di host PHP visibili online e circa 3,8 milioni con almeno una porta aperta, milioni di installazioni potrebbero risultare vulnerabili. Le versioni PHP 8.1 e precedenti non riceveranno correzioni complete, ma sono stati forniti backport minimi per PHP 7.4, 8.0 e 8.1 per coloro che compilano da sorgente o non hanno accesso a un vendor LTS.
La soluzione più sicura è aggiornare alle versioni corrette. Per chi non può farlo immediatamente, si consigliano alcune misure di mitigazione, come impostare limiti di memoria appropriati e restringere la dimensione delle richieste in ingresso. Gli amministratori sono esortati a controllare le pagine ufficiali di download e i canali dei propri vendor per ottenere e installare i pacchetti aggiornati.
