In Breve
- Cosa sono le vulnerabilità RCE rilasciate da PHP?
- Due vulnerabilità critiche di esecuzione remota di codice che possono compromettere milioni di installazioni PHP.
- Qual è il punteggio di gravità delle vulnerabilità?
- Entrambe le vulnerabilità hanno un punteggio di gravità di 9,2 su 10.
- Cosa devono fare gli amministratori?
- Applicare immediatamente gli aggiornamenti e verificare con i fornitori la disponibilità delle patch.
PHP ha recentemente rilasciato patch d’emergenza per affrontare due vulnerabilità critiche di esecuzione remota di codice (RCE), invitando gli amministratori a implementare gli aggiornamenti senza indugi. Le vulnerabilità, identificate come CVE-2026-109618 e CVE-2026-109619, presentano un punteggio di gravità di 9,2 su 10, indicando un rischio elevato per le installazioni PHP.
La prima vulnerabilità, CVE-2026-109618, è un bug nella gestione della memoria che può portare a situazioni di out-of-memory, mentre la seconda, CVE-2026-109619, è un errore di tipo use-after-free. Entrambi i problemi sono stati corretti nelle versioni recenti di PHP, tra cui 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Le build e i sorgenti per Windows sono già disponibili sulla pagina di download ufficiale di PHP.
Le distribuzioni Linux e i fornitori LTS hanno ricevuto i pacchetti aggiornati in anticipo, e gli amministratori sono fortemente incoraggiati a verificare con i propri fornitori la disponibilità degli aggiornamenti. È importante notare che il rischio è particolarmente elevato per tutte le installazioni PHP che gestiscono richieste web, inclusi PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed.
In particolare, per mod_php è stato dimostrato un exploit che consente a richieste non autenticate di attivare l’attacco prima dell’esecuzione del codice applicativo. Questo ha portato alcune amministrazioni e servizi pubblici in Europa a sospendere temporaneamente i siti governativi, sanitari e scolastici per mitigare il rischio di attacchi.
Attualmente, si stima che milioni di installazioni PHP siano a rischio, con oltre 5,1 milioni di host PHP visibili online e circa 3,8 milioni con almeno una porta aperta. È importante notare che le versioni PHP 8.1 e precedenti non riceveranno correzioni complete; tuttavia, sono stati forniti backport minimi per PHP 7.4, 8.0 e 8.1 per coloro che compilano da sorgente o non hanno accesso a un vendor LTS.
La raccomandazione principale è quella di aggiornare alle versioni corrette il prima possibile. Per coloro che non possono aggiornare immediatamente, si suggeriscono alcune mitigazioni parziali, tra cui:
- Impostare limiti di memoria appropriati e restringere la dimensione delle richieste in ingresso e degli upload di file.
- Utilizzare limiti dei container per contenere l’impatto di un worker vulnerabile.
- Disattivare il tracciamento dell’avanzamento degli upload di sessione.
- Abilitare i backtrace per gli errori fatali (su PHP 8.5).
- Correggere errori applicativi che possono causare crash o timeout.
- Evitare impostazioni obsolete che generano messaggi di errore prima dell’inizializzazione completa dell’applicazione.
Gli amministratori sono invitati a controllare le pagine ufficiali di download e i canali dei propri fornitori per ottenere e installare i pacchetti aggiornati. La sicurezza delle installazioni PHP è fondamentale per prevenire attacchi e garantire la continuità dei servizi online.
