PHP Rilascia Patch Critiche: Aggiornamenti Urgenti per Due Vulnerabilità RCE

PHP ha recentemente rilasciato patch d’emergenza per affrontare due vulnerabilità critiche di esecuzione remota di codice (RCE), invitando gli amministratori di sistema a implementare gli aggiornamenti senza indugi. Le vulnerabilità, identificate come CVE-2026-109618 e CVE-2026-109619, hanno ricevuto un punteggio di gravità di 9,2 su 10, indicando un rischio elevato per le installazioni PHP.

La prima vulnerabilità, CVE-2026-109618, riguarda un errore nella gestione della memoria che può portare a un esaurimento delle risorse, mentre la seconda, CVE-2026-109619, è un problema di tipo use-after-free. Entrambi i problemi possono essere sfruttati da attaccanti per eseguire codice malevolo su server vulnerabili.

Le correzioni sono state incluse nelle versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35 di PHP. Gli aggiornamenti per le versioni Windows sono disponibili sulla pagina di download ufficiale di PHP, mentre le distribuzioni Linux e i fornitori LTS hanno già ricevuto i pacchetti aggiornati. Gli amministratori sono fortemente incoraggiati a verificare con i propri fornitori la disponibilità di questi aggiornamenti.

Il rischio è considerato particolarmente elevato per tutte le installazioni PHP che gestiscono richieste web, inclusi PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed. In particolare, mod_php è stato identificato come un vettore di attacco, dove è stato dimostrato che una richiesta non autenticata può attivare l’attacco prima dell’esecuzione del codice applicativo.

Due giorni prima del rilascio delle patch, sono emerse informazioni sulle vulnerabilità, portando a segnalazioni di tentativi di sfruttamento. In risposta, alcune amministrazioni e servizi pubblici in Europa hanno temporaneamente sospeso l’accesso a siti governativi, sanitari e scolastici per mitigare i rischi.

Si stima che milioni di installazioni PHP possano essere vulnerabili, con oltre 5,1 milioni di host PHP visibili online e circa 3,8 milioni con almeno una porta aperta. Le versioni PHP 8.1 e precedenti non riceveranno correzioni complete; tuttavia, sono stati forniti backport minimi per PHP 7.4, 8.0 e 8.1 per coloro che compilano da sorgente o non hanno accesso a un fornitore LTS.

La raccomandazione principale è di aggiornare alle versioni corrette il prima possibile. Per coloro che non possono effettuare l’aggiornamento immediato, si suggeriscono alcune mitigazioni parziali: impostare limiti di memoria appropriati, restringere la dimensione delle richieste in ingresso e degli upload di file, utilizzare limiti dei container per contenere l’impatto di un worker vulnerabile, disattivare il tracciamento dell’avanzamento degli upload di sessione e abilitare i backtrace per gli errori fatali (su PHP 8.5). Inoltre, è importante correggere eventuali errori applicativi che possono causare crash o timeout e evitare impostazioni obsolete che generano messaggi di errore prima dell’inizializzazione completa dell’applicazione.

Gli amministratori sono esortati a controllare le pagine ufficiali di download e i canali dei propri fornitori per ottenere e installare i pacchetti aggiornati, garantendo così la sicurezza delle proprie installazioni PHP.