PHP Rilascia Patch Critiche: Aggiornamenti Necessari per Evitare Vulnerabilità RCE

PHP ha recentemente rilasciato patch d’emergenza per due vulnerabilità critiche di esecuzione remota di codice (RCE), invitando gli amministratori a implementare gli aggiornamenti senza indugi. Le vulnerabilità, identificate come CVE-2026-109618 e CVE-2026-109619, presentano un punteggio di gravità di 9,2 su 10, rendendole particolarmente pericolose per le installazioni PHP che gestiscono richieste web.

Il primo problema, CVE-2026-109618, è un bug nella gestione della memoria che può portare a situazioni di out-of-memory, mentre il secondo, CVE-2026-109619, è un errore di tipo use-after-free. Entrambe le vulnerabilità possono essere sfruttate per eseguire codice malevolo su server vulnerabili.

Le correzioni sono state incluse nelle versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35 di PHP. Gli utenti Windows possono scaricare le build e i sorgenti direttamente dalla pagina ufficiale di download di PHP. È importante notare che le distribuzioni Linux e i fornitori LTS hanno già ricevuto i pacchetti aggiornati, quindi gli amministratori sono esortati a controllare con i rispettivi vendor la disponibilità degli aggiornamenti.

Il rischio è particolarmente elevato per tutte le installazioni PHP che gestiscono richieste web, inclusi PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed. In particolare, il mod_php è stato identificato come il più vulnerabile, poiché è stato dimostrato che un exploit può attivare l’attacco tramite una richiesta non autenticata prima dell’esecuzione del codice applicativo.

Due giorni prima del rilascio delle patch, informazioni sulle vulnerabilità erano già trapelate, portando a segnalazioni di tentativi di sfruttamento. Di conseguenza, alcune amministrazioni pubbliche e servizi governativi in Europa hanno deciso di sospendere temporaneamente i propri siti web, inclusi quelli sanitari e scolastici, per mitigare il rischio.

Attualmente, milioni di installazioni PHP risultano esposte, con oltre 5,1 milioni di host PHP visibili online e circa 3,8 milioni con almeno una porta aperta. È importante notare che le versioni PHP 8.1 e precedenti non riceveranno correzioni complete; tuttavia, sono stati forniti backport minimi per PHP 7.4, 8.0 e 8.1 per coloro che compilano da sorgente o non hanno accesso a un vendor LTS.

La misura più sicura per gli amministratori è aggiornare alle versioni corrette. Per chi non può effettuare l’aggiornamento immediatamente, sono consigliate alcune mitigazioni parziali: impostare limiti di memoria appropriati, restringere la dimensione delle richieste in ingresso e degli upload di file, utilizzare limiti dei container per contenere l’impatto di un worker vulnerabile e disattivare il tracciamento dell’avanzamento degli upload di sessione. Inoltre, è consigliabile abilitare i backtrace per gli errori fatali (su PHP 8.5), correggere errori applicativi che possono causare crash o timeout e evitare impostazioni obsolete che generano messaggi di errore prima dell’inizializzazione completa dell’applicazione.

Gli amministratori sono fortemente incoraggiati a controllare le pagine ufficiali di download e i canali dei propri vendor per ottenere e installare i pacchetti aggiornati, al fine di garantire la sicurezza delle proprie applicazioni e dei dati degli utenti.