Riassunto:
Il team di sviluppo PHP ha rilasciato ufficialmente un aggiornamento di sicurezza di emergenza il 21 ottobre 2026, per correggere due gravi vulnerabilità della sicurezza. Queste due vulnerabilità sono numerate rispettivamente CVE-2026-109618 e CVE-2026-109619. Entrambi sono classificati come gravi e potrebbero consentire agli aggressori di eseguire codice in remoto senza effettuare l'accesso. I funzionari raccomandano vivamente a tutti gli utenti PHP di eseguire immediatamente l'aggiornamento alla versione riparata per evitare attacchi al server.
Le versioni corrette rilasciate questa volta includono PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. I funzionari hanno sottolineato che la vulnerabilità colpisce gli ambienti di distribuzione PHP che gestiscono le richieste attraverso la rete, inclusi PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed. Il team PHP ha sottolineato in particolare che i rischi ambientali derivanti dall'utilizzo di Apache mod_php destano particolare preoccupazione, poiché sono state dimostrate che gli aggressori possono innescare attacchi prima che il codice dell'applicazione inizi l'esecuzione.
La prima vulnerabilità, CVE-2026-109618, è correlata al meccanismo di gestione dell'esaurimento della memoria. Quando PHP rileva memoria insufficiente, il programma potrebbe interrompere il flusso di elaborazione quando i dati della richiesta interna non sono stati completamente inizializzati e quindi utilizzare questi dati non validi come dati validi durante la pulizia delle risorse. Questo stato anomalo può portare al danneggiamento della memoria e può essere ulteriormente sfruttato in determinate condizioni, ottenendo infine l'esecuzione di codice in modalità remota.
La seconda vulnerabilità, CVE-2026-109619, riguarda la memoria liberata e lo stato interno scaduto. Alcuni stati interni appartenenti alla richiesta corrente potrebbero persistere anche dopo il rilascio della memoria corrispondente. Le richieste successive gestite dallo stesso processo di lavoro potrebbero utilizzare dati non aggiornati prima che la normale inizializzazione ripristini questi stati, causando problemi di sicurezza. Entrambe le vulnerabilità possono consentire agli aggressori di oltrepassare i limiti originali di esecuzione del programma.
Il punteggio CVSS v4.0 di entrambe le vulnerabilità è 9,2, un livello serio. Il pericolo è che un utente malintenzionato potrebbe non aver bisogno di un account, di una password o di altre credenziali di autenticazione validi per attivare la vulnerabilità creando richieste di rete specifiche. Se l'attacco ha successo, l'aggressore può eseguire ulteriormente comandi dannosi, rubare dati, installare programmi dannosi o utilizzare i privilegi del server per continuare ad espandere la portata dell'intrusione.
PHP è uno dei linguaggi di programmazione lato server più comuni nelle applicazioni Internet ed è ampiamente utilizzato per la generazione di pagine Web dinamiche, l'interazione di database e l'elaborazione aziendale in background. Anche i sistemi di gestione dei contenuti come WordPress si basano su PHP per funzionare, quindi questa vulnerabilità non riguarda solo una determinata piattaforma del sito Web, ma coinvolge l'ambiente operativo sottostante. Anche se un sito web ha aggiornato il programma principale di WordPress e i plugin, il sito web potrebbe continuare a essere a rischio finché la versione PHP sul server è ancora vulnerabile. I funzionari di WordPress hanno anche chiarito che questo problema non deve essere risolto rilasciando un aggiornamento del core di WordPress. I proprietari dei siti web dovrebbero controllare e aggiornare l'effettivo ambiente PHP in esecuzione.
Per i siti Web che utilizzano rami supportati di PHP 8.2 e versioni successive, gli amministratori devono installare la versione di riparazione corrispondente il prima possibile. Gli utenti che utilizzano ancora PHP 8.1 e versioni precedenti devono prestare particolare attenzione: queste versioni non ricevono più gli aggiornamenti di sicurezza forniti direttamente dal progetto PHP. Tuttavia, alcune distribuzioni Linux, fornitori di supporto a lungo termine o altri fornitori possono fornire patch di rollback e gli utenti interessati dovrebbero verificare con i propri fornitori di software se esiste una correzione.
Le agenzie di sicurezza hanno precedentemente avvertito che se il sito web non riesce a risolvere la vulnerabilità in tempo, dovrebbe prendere in considerazione la possibilità di limitare temporaneamente l'accesso esterno e di mettere il sistema offline, se necessario. La scoperta di questa vulnerabilità ha anche innescato risposte di emergenza da molti paesi e regioni. Alcune agenzie governative europee hanno preso l'iniziativa di chiudere i siti web prima del rilascio della patch per ridurre i potenziali rischi. Reuters riferisce che alcune agenzie governative nei Paesi Bassi e in Finlandia hanno adottato misure preventive, riflettendo l'effettiva pressione che questo incidente di sicurezza ha esercitato sui servizi di rete pubblici.
Il rilascio ufficiale di emergenza delle patch da parte di PHP significa che i problemi di sicurezza che precedentemente erano nella fase di avviso sono entrati nella fase di riparazione effettiva. Per gli operatori dei siti web il compito più importante in questo momento è verificare quale versione di PHP è effettivamente in esecuzione sul server, verificare se il provider di hosting ha implementato aggiornamenti e verificare se nel sistema sono presenti processi anomali, modifiche di file non autorizzate o connessioni di rete sospette.
La sicurezza del sito web dipende non solo dall'applicazione stessa, ma anche dalla tempestiva manutenzione dell'ambiente operativo sottostante. Poiché PHP è ampiamente distribuito su vari siti Web e server, l'installazione tempestiva di versioni di riparazione ufficiali è una misura chiave per ridurre il rischio di queste due gravi vulnerabilità.
Ulteriori informazioni:
https://www.php.net/archive/2026.php#2026-10-21-5
https://www.php.net/downloads.php
Commenti