In Breve
- Quali vulnerabilità sono state identificate in PHP?
- Due vulnerabilità RCE, CVE-2026-109618 e CVE-2026-109619, con punteggio di gravità 9,2/10.
- Cosa devono fare gli amministratori di sistema?
- Devono aggiornare immediatamente alle versioni corrette di PHP.
- Quali misure possono adottare se non possono aggiornare subito?
- Possono impostare limiti di memoria e restringere le dimensioni delle richieste in ingresso.
PHP ha recentemente rilasciato patch d’emergenza per due vulnerabilità di esecuzione remota di codice (RCE) che potrebbero compromettere milioni di installazioni in tutto il mondo. Gli amministratori di sistema sono fortemente invitati a implementare questi aggiornamenti per garantire la sicurezza delle loro applicazioni.
Le vulnerabilità identificate, contrassegnate come CVE-2026-109618 e CVE-2026-109619, presentano punteggi di gravità elevati, pari a 9,2 su 10. La prima riguarda un bug nella gestione della memoria che può causare out-of-memory, mentre la seconda è un errore di tipo use-after-free. Entrambi i problemi possono essere sfruttati da attaccanti per eseguire codice malevolo su server vulnerabili.
Le correzioni sono disponibili nelle versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35 di PHP. Gli aggiornamenti per Windows possono essere scaricati dalla pagina ufficiale di download di PHP. Le distribuzioni Linux e i fornitori LTS hanno già ricevuto i pacchetti aggiornati, e gli amministratori sono invitati a verificare con i loro fornitori la disponibilità di queste patch.
Il rischio è considerato elevato per tutte le installazioni PHP che gestiscono richieste web, inclusi PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed. In particolare, il modulo mod_php è stato identificato come particolarmente vulnerabile, poiché è stato dimostrato che un exploit può attivare un attacco non autenticato prima dell’esecuzione del codice applicativo.
Le informazioni sulle vulnerabilità sono trapelate due giorni prima del rilascio delle patch, portando a segnalazioni di tentativi di sfruttamento in fase iniziale. Di conseguenza, alcune amministrazioni e servizi pubblici in Europa hanno temporaneamente sospeso l’accesso a siti governativi, sanitari e scolastici per mitigare il rischio di attacchi.
Si stima che oltre 5,1 milioni di host PHP siano visibili online, con circa 3,8 milioni di questi che presentano almeno una porta aperta. È importante notare che le versioni PHP 8.1 e precedenti non riceveranno correzioni complete; tuttavia, sono stati forniti backport minimi per PHP 7.4, 8.0 e 8.1 per coloro che compilano da sorgente o non hanno accesso a un fornitore LTS.
Per garantire la massima sicurezza, la raccomandazione principale è quella di aggiornare alle versioni corrette. Per coloro che non possono aggiornare immediatamente, sono suggerite alcune mitigazioni parziali, tra cui:
- Impostare limiti di memoria appropriati e restringere la dimensione delle richieste in ingresso e degli upload di file.
- Utilizzare limiti dei container per contenere l’impatto di un worker vulnerabile.
- Disattivare il tracciamento dell’avanzamento degli upload di sessione.
- Abilitare i backtrace per gli errori fatali su PHP 8.5.
- Correggere errori applicativi che possono causare crash o timeout.
- Evitare impostazioni obsolete che generano messaggi di errore prima dell’inizializzazione completa dell’applicazione.
Gli amministratori sono invitati a controllare le pagine ufficiali di download e i canali dei propri fornitori per ottenere e installare i pacchetti aggiornati.