PHP Rilascia Patch d’Emergenza per Vulnerabilità Critiche di Sicurezza

PHP ha recentemente rilasciato patch d’emergenza per affrontare due vulnerabilità di esecuzione remota di codice (RCE) che potrebbero mettere a rischio milioni di installazioni. Le vulnerabilità, identificate come CVE-2026-109618 e CVE-2026-109619, hanno ricevuto un punteggio di gravità di 9,2 su 10, indicando un rischio elevato per le applicazioni web che utilizzano PHP.

Il primo problema, CVE-2026-109618, riguarda un bug nella gestione della memoria che può portare a un errore di out-of-memory, mentre il secondo, CVE-2026-109619, è un errore di tipo use-after-free. Entrambi i problemi possono consentire a un attaccante di eseguire codice malevolo su server vulnerabili.

Le correzioni sono state incluse nelle versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35 di PHP. Gli amministratori di sistema sono fortemente invitati ad aggiornare le loro installazioni, specialmente quelle che gestiscono richieste web tramite PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed. Il rischio è particolarmente elevato per mod_php, dove è stato dimostrato che un exploit può essere attivato da una richiesta non autenticata.

Due giorni prima del rilascio delle patch, sono trapelate informazioni sulle vulnerabilità, portando a segnalazioni di tentativi di sfruttamento. In risposta, alcune amministrazioni e servizi pubblici in Europa hanno temporaneamente sospeso l’accesso a siti governativi, sanitari e scolastici per ridurre il rischio di attacchi.

Attualmente, si stima che oltre 5,1 milioni di host PHP siano visibili online, con circa 3,8 milioni di questi che presentano almeno una porta aperta, rendendoli particolarmente vulnerabili. Le versioni PHP 8.1 e precedenti non riceveranno correzioni complete, ma sono stati forniti backport minimi per PHP 7.4, 8.0 e 8.1 per coloro che non possono accedere a un fornitore LTS.

Per garantire la sicurezza, la misura più efficace è aggiornare alle versioni corrette. Tuttavia, per coloro che non possono effettuare l’aggiornamento immediatamente, sono suggerite alcune mitigazioni parziali. Queste includono l’impostazione di limiti di memoria appropriati, la restrizione della dimensione delle richieste in ingresso e degli upload di file, e l’uso di limiti dei container per contenere l’impatto di un worker vulnerabile. È anche consigliabile disattivare il tracciamento dell’avanzamento degli upload di sessione e abilitare i backtrace per gli errori fatali su PHP 8.5.

Gli amministratori sono esortati a controllare le pagine ufficiali di download e i canali dei propri fornitori per ottenere e installare i pacchetti aggiornati, al fine di proteggere le loro applicazioni e i dati degli utenti.