PHP Rilascia Patch Urgente per Vulnerabilità Critiche: Cosa Devi Sapere

PHP ha recentemente annunciato il rilascio di patch d’emergenza per affrontare due vulnerabilità critiche di esecuzione remota di codice (RCE). Questi problemi, identificati come CVE-2026-109618 e CVE-2026-109619, hanno ricevuto un punteggio di gravità di 9,2 su 10, rendendo urgente l’applicazione degli aggiornamenti.

Le correzioni sono disponibili per le versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Gli amministratori di sistema possono accedere alle build e ai sorgenti per Windows direttamente dalla pagina di download ufficiale di PHP. Le distribuzioni Linux e i fornitori LTS hanno già ricevuto i pacchetti aggiornati, e si consiglia agli amministratori di controllare con i rispettivi vendor la disponibilità degli aggiornamenti.

Il rischio associato a queste vulnerabilità è stato giudicato elevato per tutte le installazioni PHP che gestiscono richieste web, inclusi PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed. In particolare, il rischio è maggiore per mod_php, dove è stato dimostrato un exploit in grado di attivare un attacco non autenticato prima dell’esecuzione del codice applicativo.

Due giorni prima del rilascio delle patch, informazioni sulle vulnerabilità sono trapelate, portando a segnalazioni di tentativi di sfruttamento. Di conseguenza, alcune amministrazioni pubbliche in Europa hanno temporaneamente sospeso l’accesso a siti governativi, sanitari e scolastici per mitigare il rischio di attacchi.

Si stima che milioni di installazioni PHP siano potenzialmente vulnerabili, con oltre 5,1 milioni di host PHP visibili online e circa 3,8 milioni con almeno una porta aperta. Le versioni PHP 8.1 e precedenti non riceveranno correzioni complete; tuttavia, sono stati forniti backport minimi per PHP 7.4, 8.0 e 8.1 per coloro che compilano da sorgente o non hanno accesso a un vendor LTS.

La soluzione più sicura è aggiornare alle versioni corrette. Per coloro che non possono aggiornare immediatamente, sono suggerite alcune mitigazioni parziali: impostare limiti di memoria appropriati, restringere la dimensione delle richieste in ingresso e degli upload di file, utilizzare limiti dei container per contenere l’impatto di un worker vulnerabile, disattivare il tracciamento dell’avanzamento degli upload di sessione e abilitare i backtrace per gli errori fatali (su PHP 8.5). Inoltre, è importante correggere errori applicativi che possono causare crash o timeout e evitare impostazioni obsolete che generano messaggi di errore prima dell’inizializzazione completa dell’applicazione.

Gli amministratori sono fortemente invitati a controllare le pagine ufficiali di download e i canali dei propri vendor per ottenere e installare i pacchetti aggiornati, al fine di garantire la sicurezza delle proprie applicazioni PHP.