In Breve
- Quali vulnerabilità sono state scoperte in PHP?
- Due vulnerabilità RCE, CVE-2026-109618 e CVE-2026-109619, con punteggio di gravità 9,2.
- Quali versioni di PHP sono state aggiornate?
- Le versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35 sono state rilasciate con le patch.
- Cosa devono fare gli amministratori?
- Aggiornare immediatamente alle versioni corrette o applicare mitigazioni parziali.
PHP Rilascia Patch Critiche per Vulnerabilità RCE: Cosa Devi Sapere
PHP ha recentemente annunciato il rilascio di patch d’emergenza per due vulnerabilità di esecuzione remota di codice (RCE) che potrebbero compromettere la sicurezza di milioni di installazioni. Le vulnerabilità, identificate come CVE-2026-109618 e CVE-2026-109619, hanno ricevuto un punteggio di gravità di 9,2 su 10, il che le rende particolarmente preoccupanti per gli amministratori di sistema.
Dettagli delle Vulnerabilità
La prima vulnerabilità, CVE-2026-109618, riguarda un bug nella gestione della memoria che può portare a un errore di out-of-memory, mentre la seconda, CVE-2026-109619, è un errore di tipo use-after-free. Entrambi i problemi possono essere sfruttati da attaccanti per eseguire codice malevolo su server vulnerabili.
Aggiornamenti Disponibili
Le correzioni sono state rilasciate nelle seguenti versioni di PHP: 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Gli amministratori sono incoraggiati a verificare la disponibilità degli aggiornamenti presso i rispettivi fornitori. Le build e i sorgenti per Windows possono essere scaricati direttamente dalla pagina di download di PHP.
Rischi Associati
Il rischio è considerato elevato per tutte le installazioni PHP che gestiscono richieste web, inclusi PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed. In particolare, l’uso di mod_php è stato evidenziato come particolarmente vulnerabile, poiché è stato dimostrato che un attacco può essere attivato da una richiesta non autenticata prima dell’esecuzione del codice applicativo.
Impatto delle Vulnerabilità
Le informazioni sulle vulnerabilità sono trapelate due giorni prima del rilascio delle patch, portando a tentativi di sfruttamento già nelle fasi iniziali. Per mitigare il rischio, alcune amministrazioni e servizi pubblici in Europa hanno temporaneamente sospeso i siti governativi, sanitari e scolastici.
Statistiche sulle Installazioni Vulnerabili
Si stima che oltre 5,1 milioni di host PHP siano visibili online, con circa 3,8 milioni di questi che presentano almeno una porta aperta. Le versioni PHP 8.1 e precedenti non riceveranno correzioni complete, ma sono stati forniti backport minimi per PHP 7.4, 8.0 e 8.1 per coloro che compilano da sorgente o non hanno accesso a un vendor LTS.
Raccomandazioni per gli Amministratori
La raccomandazione principale è di aggiornare alle versioni corrette il prima possibile. Per coloro che non possono effettuare l’aggiornamento immediatamente, sono suggerite alcune mitigazioni parziali:
- Impostare limiti di memoria appropriati e restringere la dimensione delle richieste in ingresso e degli upload di file.
- Utilizzare limiti dei container per contenere l’impatto di un worker vulnerabile.
- Disattivare il tracciamento dell’avanzamento degli upload di sessione.
- Abilitare i backtrace per gli errori fatali (su PHP 8.5).
- Correggere errori applicativi che possono causare crash o timeout.
- Evitare impostazioni obsolete che generano messaggi di errore prima dell’inizializzazione completa dell’applicazione.
Gli amministratori devono controllare le pagine ufficiali di download e i canali dei propri vendor per ottenere e installare i pacchetti aggiornati.
