PHP Rilascia Patch d’Emergenza per Vulnerabilità Critiche: Cosa Devi Sapere
PHP ha rilasciato patch d'emergenza per due vulnerabilità critiche di esecuzione remota di codice. Scopri come proteggere il tuo sistema.
In Breve
- Quali vulnerabilità sono state corrette da PHP?
- PHP ha corretto due vulnerabilità critiche di esecuzione remota di codice, CVE-2026-109618 e CVE-2026-109619.
- Qual è il punteggio di gravità delle vulnerabilità?
- Entrambe le vulnerabilità hanno un punteggio di gravità di 9,2 su 10.
- Cosa devono fare gli amministratori?
- Gli amministratori devono aggiornare alle versioni corrette di PHP e controllare i canali dei fornitori per le patch.
PHP ha recentemente rilasciato patch d’emergenza per affrontare due vulnerabilità critiche di esecuzione remota di codice (RCE). Queste vulnerabilità, identificate come CVE-2026-109618 e CVE-2026-109619, presentano un punteggio di gravità di 9,2 su 10, rendendo imperativo per gli utenti applicare gli aggiornamenti senza indugi.
Le correzioni sono disponibili per le versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Gli utenti possono scaricare le build e i sorgenti per Windows dalla pagina ufficiale di download di PHP. Inoltre, le distribuzioni Linux e i fornitori LTS hanno ricevuto i pacchetti aggiornati in anticipo, e gli amministratori sono esortati a verificare la disponibilità degli aggiornamenti con i rispettivi fornitori.
Il rischio associato a queste vulnerabilità è stato giudicato elevato per tutte le installazioni PHP che gestiscono richieste web, inclusi PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed. In particolare, le installazioni che utilizzano mod_php sono state identificate come particolarmente vulnerabili, poiché è stato dimostrato un exploit che consente a una richiesta non autenticata di attivare l’attacco prima dell’esecuzione del codice applicativo.
Le informazioni sulle vulnerabilità sono trapelate due giorni prima del rilascio delle patch, portando a segnalazioni di tentativi di sfruttamento nelle fasi iniziali. Di conseguenza, alcune amministrazioni e servizi pubblici in Europa hanno temporaneamente sospeso i siti governativi, sanitari e scolastici per mitigare il rischio.
Attualmente, milioni di installazioni PHP potrebbero risultare vulnerabili, con oltre 5,1 milioni di host PHP visibili online e circa 3,8 milioni con almeno una porta aperta. È importante notare che le versioni PHP 8.1 e precedenti non riceveranno correzioni complete; tuttavia, sono stati forniti backport minimi dei sorgenti per PHP 7.4, 8.0 e 8.1 per coloro che compilano da sorgente o non hanno accesso a un vendor LTS.
La misura più sicura per gli utenti è aggiornare alle versioni corrette. Per coloro che non possono effettuare l’aggiornamento immediatamente, sono suggerite alcune mitigazioni parziali: impostare limiti di memoria appropriati, restringere la dimensione delle richieste in ingresso e degli upload di file, utilizzare limiti dei container per contenere l’impatto di un worker vulnerabile, disattivare il tracciamento dell’avanzamento degli upload di sessione e abilitare i backtrace per gli errori fatali (su PHP 8.5). È inoltre consigliabile correggere eventuali errori applicativi che potrebbero causare crash o timeout e evitare impostazioni obsolete che generano messaggi di errore prima dell’inizializzazione completa dell’applicazione.
Gli amministratori sono invitati a controllare le pagine ufficiali di download e i canali dei propri fornitori per ottenere e installare i pacchetti aggiornati, garantendo così la sicurezza delle loro installazioni PHP.
