PHP Rilascia Patch Critiche: Aggiornamenti Necessari per Evitare Rischi di Sicurezza

PHP ha recentemente rilasciato patch d’emergenza per affrontare due vulnerabilità critiche di esecuzione remota di codice (RCE), invitando gli amministratori a implementare gli aggiornamenti senza indugi. Le vulnerabilità identificate, contrassegnate come CVE-2026-109618 e CVE-2026-109619, presentano punteggi di gravità di 9,2 su 10, evidenziando il rischio significativo per le installazioni PHP.

Il primo problema, CVE-2026-109618, riguarda un difetto nella gestione della memoria che può portare a situazioni di out-of-memory, mentre il secondo, CVE-2026-109619, è un errore di tipo use-after-free. Entrambe le vulnerabilità possono essere sfruttate per compromettere la sicurezza delle applicazioni web che utilizzano PHP.

Le correzioni sono disponibili nelle versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Gli amministratori possono trovare le build e i sorgenti per Windows sulla pagina ufficiale di download di PHP. Le distribuzioni Linux e i fornitori LTS hanno già ricevuto i pacchetti aggiornati, e gli amministratori sono esortati a verificare la disponibilità degli aggiornamenti con i rispettivi vendor.

Il rischio è stato giudicato elevato per tutte le installazioni PHP che gestiscono richieste web, inclusi PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed. In particolare, il mod_php presenta un rischio maggiore, poiché è stato dimostrato che un exploit consente a una richiesta non autenticata di attivare l’attacco prima dell’esecuzione del codice applicativo.

Le informazioni sulle vulnerabilità sono trapelate due giorni prima del rilascio delle patch, portando a segnalazioni di tentativi di sfruttamento nelle fasi iniziali. Di conseguenza, alcune amministrazioni e servizi pubblici in Europa hanno temporaneamente sospeso i siti governativi, sanitari e scolastici per mitigare il rischio.

Si stima che milioni di installazioni PHP siano esposte, con oltre 5,1 milioni di host PHP visibili online e circa 3,8 milioni con almeno una porta aperta. È importante notare che le versioni PHP 8.1 e precedenti non riceveranno correzioni complete; tuttavia, sono stati forniti backport minimi per PHP 7.4, 8.0 e 8.1 per coloro che compilano da sorgente o non hanno accesso a un vendor LTS.

La misura più sicura è aggiornare alle versioni corrette. Per coloro che non possono aggiornare immediatamente, sono suggerite alcune mitigazioni parziali: impostare limiti di memoria appropriati, restringere la dimensione delle richieste in ingresso e degli upload di file, utilizzare limiti dei container per contenere l’impatto di un worker vulnerabile, disattivare il tracciamento dell’avanzamento degli upload di sessione e abilitare i backtrace per gli errori fatali (su PHP 8.5). È fondamentale correggere errori applicativi che possono causare crash o timeout e evitare impostazioni obsolete che generano messaggi di errore prima dell’inizializzazione completa dell’applicazione.

Gli amministratori devono controllare le pagine ufficiali di download e i canali dei propri vendor per ottenere e installare i pacchetti aggiornati, garantendo così la sicurezza delle proprie applicazioni PHP.