PHP Rilascia Patch d’Emergenza per Vulnerabilità Critiche: Cosa Devi Sapere
In Breve
- Quali vulnerabilità sono state corrette da PHP?
- PHP ha corretto due vulnerabilità RCE, CVE-2026-109618 e CVE-2026-109619, entrambe con un punteggio di gravità di 9,2 su 10.
- Quali versioni di PHP sono state aggiornate?
- Le versioni aggiornate sono 8.5.12, 8.4.27, 8.3.36 e 8.2.35.
- Cosa devono fare gli amministratori di sistema?
- Devono aggiornare immediatamente le loro installazioni PHP e verificare la disponibilità di pacchetti aggiornati dai fornitori.
PHP ha recentemente rilasciato patch d’emergenza per affrontare due vulnerabilità critiche di esecuzione remota di codice (RCE), invitando gli utenti a implementare gli aggiornamenti senza indugi. Le vulnerabilità, identificate come CVE-2026-109618 e CVE-2026-109619, presentano un punteggio di gravità di 9,2 su 10, rendendole particolarmente allarmanti per gli amministratori di sistema.
La prima vulnerabilità, CVE-2026-109618, riguarda un difetto nella gestione della memoria che può portare a situazioni di out-of-memory, mentre la seconda, CVE-2026-109619, è un errore di tipo use-after-free. Entrambi i problemi possono essere sfruttati per compromettere la sicurezza delle applicazioni PHP.
Le correzioni sono disponibili nelle versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35 di PHP, con i sorgenti e le build per Windows già accessibili sulla pagina ufficiale di download. Gli amministratori di sistemi Linux e i fornitori di Long Term Support (LTS) hanno ricevuto i pacchetti aggiornati in anticipo, e sono incoraggiati a verificare la disponibilità degli aggiornamenti con i propri fornitori.
Il rischio associato a queste vulnerabilità è considerato elevato per tutte le installazioni PHP che gestiscono richieste web, inclusi PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed. In particolare, l’uso di mod_php è stato evidenziato come particolarmente vulnerabile, poiché un exploit può attivare un attacco attraverso richieste non autenticate prima dell’esecuzione del codice applicativo.
Due giorni prima del rilascio delle patch, sono trapelate informazioni sulle vulnerabilità, portando a segnalazioni di tentativi di sfruttamento nelle fasi iniziali. In risposta, alcune amministrazioni e servizi pubblici in Europa hanno temporaneamente sospeso i siti governativi, sanitari e scolastici per mitigare i rischi.
Le installazioni PHP esposte sono numerose, con oltre 5,1 milioni di host PHP visibili online e circa 3,8 milioni di questi con almeno una porta aperta. È importante notare che le versioni PHP 8.1 e precedenti non riceveranno correzioni complete; tuttavia, sono stati forniti backport minimi per PHP 7.4, 8.0 e 8.1 per coloro che compilano da sorgente o non hanno accesso a un fornitore LTS.
La misura più sicura è quella di aggiornare alle versioni corrette il prima possibile. Per chi non può effettuare l’aggiornamento immediatamente, sono suggerite alcune mitigazioni parziali: impostare limiti di memoria adeguati, restringere la dimensione delle richieste in ingresso e degli upload di file, utilizzare limiti sui container per contenere l’impatto di un worker vulnerabile, disattivare il tracciamento dell’avanzamento degli upload di sessione e abilitare i backtrace per gli errori fatali su PHP 8.5. È fondamentale correggere eventuali errori applicativi che potrebbero causare crash o timeout e evitare impostazioni obsolete che generano messaggi di errore prima dell’inizializzazione completa dell’applicazione.
Gli amministratori sono fortemente incoraggiati a controllare le pagine ufficiali di download e i canali dei propri fornitori per ottenere e installare i pacchetti aggiornati, al fine di garantire la sicurezza delle proprie applicazioni PHP.
