PHP Rilascia Patch di Emergenza per Vulnerabilità Critiche di Esecuzione Remota di Codice
PHP ha rilasciato aggiornamenti urgenti per affrontare due vulnerabilità critiche di esecuzione remota di codice, invitando gli utenti ad aggiornare immediatamente.
In Breve
- Quali vulnerabilità sono state corrette da PHP?
- PHP ha corretto due vulnerabilità critiche di esecuzione remota di codice, CVE-2026-109618 e CVE-2026-109619.
- Qual è il punteggio di gravità delle vulnerabilità?
- Entrambe le vulnerabilità hanno ricevuto un punteggio di gravità di 9,2 su 10.
- Quali versioni di PHP sono state aggiornate?
- Le versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35 sono state aggiornate.
PHP ha recentemente rilasciato patch d’emergenza per due vulnerabilità di esecuzione remota di codice (RCE) che potrebbero compromettere milioni di installazioni in tutto il mondo. Le vulnerabilità, identificate come CVE-2026-109618 e CVE-2026-109619, hanno ricevuto un punteggio di gravità di 9,2 su 10, evidenziando la loro criticità.
La prima vulnerabilità, CVE-2026-109618, riguarda un bug nella gestione della memoria che può portare a situazioni di out-of-memory, mentre la seconda, CVE-2026-109619, è un errore di tipo use-after-free. Entrambi i problemi possono essere sfruttati da attaccanti per eseguire codice malevolo sui server vulnerabili.
Le correzioni sono state rilasciate nelle versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35 di PHP. Gli amministratori sono fortemente incoraggiati ad applicare questi aggiornamenti il prima possibile. Le build e i sorgenti per Windows sono disponibili sulla pagina ufficiale di download di PHP, mentre le distribuzioni Linux e i fornitori LTS hanno già ricevuto i pacchetti aggiornati.
Il rischio è considerato elevato per tutte le installazioni PHP che gestiscono richieste web, inclusi PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed. In particolare, il modulo mod_php è stato identificato come particolarmente vulnerabile, dato che è stato dimostrato che un exploit può attivare l’attacco tramite una richiesta non autenticata prima dell’esecuzione del codice applicativo.
Due giorni prima del rilascio delle patch, sono trapelate informazioni sulle vulnerabilità, portando a segnalazioni di tentativi di sfruttamento già in fase iniziale. Di conseguenza, alcune amministrazioni e servizi pubblici in Europa hanno deciso di sospendere temporaneamente i siti governativi, sanitari e scolastici per mitigare i rischi.
Si stima che oltre 5,1 milioni di host PHP siano visibili online, con circa 3,8 milioni di questi con almeno una porta aperta, rendendo un gran numero di installazioni potenzialmente vulnerabili. È importante notare che le versioni PHP 8.1 e precedenti non riceveranno correzioni complete, ma sono stati forniti backport minimi per PHP 7.4, 8.0 e 8.1 per coloro che non possono aggiornare immediatamente.
Per garantire la sicurezza, la soluzione migliore è aggiornare alle versioni corrette. Tuttavia, per coloro che non possono effettuare l’aggiornamento immediato, sono suggerite alcune mitigazioni parziali. Queste includono l’impostazione di limiti di memoria appropriati, la restrizione della dimensione delle richieste in ingresso e degli upload di file, l’uso di limiti dei container per contenere l’impatto di un worker vulnerabile, e la disattivazione del tracciamento dell’avanzamento degli upload di sessione. Inoltre, si consiglia di abilitare i backtrace per gli errori fatali su PHP 8.5 e di correggere eventuali errori applicativi che potrebbero causare crash o timeout.
Gli amministratori dovrebbero controllare regolarmente le pagine ufficiali di download e i canali dei propri fornitori per ottenere e installare i pacchetti aggiornati, garantendo così la sicurezza delle loro applicazioni e dei loro utenti.
