In Breve
- Quali sono le vulnerabilità recentemente scoperte in PHP?
- Due vulnerabilità critiche di esecuzione remota di codice (RCE) sono state identificate, con punteggio di gravità 9,2 su 10.
- Quali versioni di PHP sono state aggiornate?
- Le patch sono disponibili per le versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35.
- Cosa devono fare gli amministratori di sistema?
- Gli amministratori sono invitati ad aggiornare immediatamente le loro installazioni PHP per mitigare i rischi.
PHP ha recentemente annunciato il rilascio di patch d’emergenza per affrontare due vulnerabilità critiche di esecuzione remota di codice (RCE). Questi problemi, identificati come CVE-2026-109618 e CVE-2026-109619, presentano un punteggio di gravità di 9,2 su 10, rendendo la loro risoluzione una priorità assoluta per gli amministratori di sistema.
La vulnerabilità CVE-2026-109618 è legata a un bug nella gestione della memoria, che può portare a situazioni di out-of-memory, mentre CVE-2026-109619 è un errore di tipo use-after-free. Le correzioni sono state implementate nelle versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35 di PHP. Gli aggiornamenti per le build e i sorgenti per Windows sono già disponibili sulla pagina ufficiale di download di PHP.
Le distribuzioni Linux e i fornitori LTS hanno ricevuto i pacchetti aggiornati in anticipo, e si raccomanda agli amministratori di verificare con i rispettivi vendor la disponibilità di questi aggiornamenti. Il rischio è considerato elevato per tutte le installazioni PHP che gestiscono richieste web, inclusi PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed. In particolare, mod_php presenta un rischio maggiore, poiché è stato dimostrato che un exploit può attivare l’attacco tramite una richiesta non autenticata prima dell’esecuzione del codice applicativo.
Informazioni sulle vulnerabilità sono trapelate due giorni prima del rilascio delle patch, e sono già stati segnalati tentativi di sfruttamento. Di conseguenza, alcune amministrazioni e servizi pubblici in Europa hanno temporaneamente sospeso siti governativi, sanitari e scolastici per ridurre il rischio di attacchi.
Si stima che milioni di installazioni PHP siano attualmente vulnerabili, con oltre 5,1 milioni di host PHP visibili online e circa 3,8 milioni con almeno una porta aperta. Le versioni PHP 8.1 e precedenti non riceveranno correzioni complete, ma sono stati forniti backport minimi per PHP 7.4, 8.0 e 8.1 per coloro che compilano da sorgente o non hanno accesso a un vendor LTS.
La misura più sicura è quella di aggiornare alle versioni corrette il prima possibile. Per coloro che non possono effettuare l’aggiornamento immediatamente, sono suggerite alcune mitigazioni parziali: impostare limiti di memoria appropriati, restringere la dimensione delle richieste in ingresso e degli upload di file, utilizzare limiti dei container per contenere l’impatto di un worker vulnerabile, disattivare il tracciamento dell’avanzamento degli upload di sessione e abilitare i backtrace per gli errori fatali (su PHP 8.5). È fondamentale correggere errori applicativi che possono causare crash o timeout e evitare impostazioni obsolete che generano messaggi di errore prima dell’inizializzazione completa dell’applicazione.
Gli amministratori sono fortemente invitati a controllare le pagine ufficiali di download e i canali dei propri vendor per ottenere e installare i pacchetti aggiornati. La tempestività nell’applicazione di queste patch è cruciale per garantire la sicurezza delle proprie applicazioni e dei dati degli utenti.
