PHP Rilascia Patch Critiche per Vulnerabilità RCE: Cosa Devi Sapere

PHP ha recentemente rilasciato patch d’emergenza per due vulnerabilità critiche di esecuzione remota di codice (RCE), invitando gli utenti ad applicare gli aggiornamenti senza indugi. Le vulnerabilità, identificate come CVE-2026-109618 e CVE-2026-109619, presentano un punteggio di gravità di 9,2 su 10, rendendo la situazione particolarmente allarmante per le installazioni PHP in uso.

Il primo problema, CVE-2026-109618, riguarda un bug nella gestione della memoria che può portare a situazioni di out-of-memory, mentre il secondo, CVE-2026-109619, è un errore di tipo use-after-free. Entrambi possono essere sfruttati per compromettere la sicurezza delle applicazioni web.

Le correzioni sono disponibili nelle versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Gli utenti possono scaricare le build e i sorgenti per Windows dalla pagina ufficiale di download di PHP. Le distribuzioni Linux e i fornitori LTS hanno già ricevuto i pacchetti aggiornati, e gli amministratori sono incoraggiati a verificare con i rispettivi vendor la disponibilità degli aggiornamenti.

Il rischio associato a queste vulnerabilità è stato classificato come elevato per tutte le installazioni PHP che gestiscono richieste web, inclusi PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed. In particolare, mod_php è stato identificato come il più vulnerabile, poiché un exploit dimostrato consente a una richiesta non autenticata di attivare l’attacco prima dell’esecuzione del codice applicativo.

Due giorni prima del rilascio delle patch, sono trapelate informazioni sulle vulnerabilità, portando a segnalazioni di tentativi di sfruttamento nelle fasi iniziali. In risposta, diverse amministrazioni e servizi pubblici in Europa hanno temporaneamente sospeso siti governativi, sanitari e scolastici per mitigare il rischio.

Con oltre 5,1 milioni di installazioni PHP visibili online e circa 3,8 milioni con almeno una porta aperta, la portata del problema è considerevole. È importante notare che le versioni PHP 8.1 e precedenti non riceveranno correzioni complete, ma sono stati forniti backport minimi per PHP 7.4, 8.0 e 8.1 per chi compila da sorgente o non ha accesso a un vendor LTS.

La soluzione più sicura è quella di aggiornare alle versioni corrette. Per coloro che non possono effettuare l’aggiornamento immediatamente, sono suggerite alcune mitigazioni parziali: impostare limiti di memoria adeguati, restringere la dimensione delle richieste in ingresso e degli upload di file, utilizzare limiti dei container per contenere l’impatto di un worker vulnerabile, disattivare il tracciamento dell’avanzamento degli upload di sessione e abilitare i backtrace per gli errori fatali (su PHP 8.5). È anche consigliabile correggere errori applicativi che possono causare crash o timeout e evitare impostazioni obsolete che generano messaggi di errore prima dell’inizializzazione completa dell’applicazione.

Gli amministratori sono invitati a controllare le pagine ufficiali di download e i canali dei propri vendor per ottenere e installare i pacchetti aggiornati, garantendo così la sicurezza delle loro applicazioni web.