PHP Rilascia Patch Critiche: Aggiornamenti Necessari per Proteggere le Installazioni

PHP ha recentemente rilasciato patch d’emergenza per due vulnerabilità di esecuzione remota di codice (RCE), invitando tutti gli utenti a implementare gli aggiornamenti senza indugi. Le vulnerabilità identificate, contrassegnate come CVE-2026-109618 e CVE-2026-109619, presentano punteggi di gravità pari a 9,2 su 10, rendendole particolarmente allarmanti.

Le correzioni sono disponibili nelle versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Gli amministratori di sistema possono trovare le build e i sorgenti per Windows sulla pagina di download ufficiale di PHP. Le distribuzioni Linux e i fornitori LTS hanno già ricevuto i pacchetti aggiornati, e si raccomanda di verificare con i rispettivi vendor la disponibilità degli aggiornamenti.

Il rischio associato a queste vulnerabilità è considerato elevato per tutte le installazioni PHP che gestiscono richieste web. Ciò include ambienti come PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed. In particolare, il modulo mod_php è stato identificato come particolarmente vulnerabile, poiché un exploit è stato dimostrato in grado di attivare un attacco attraverso una richiesta non autenticata prima dell’esecuzione del codice applicativo.

Due giorni prima del rilascio delle patch, informazioni sulle vulnerabilità erano trapelate, portando a segnalazioni di tentativi di sfruttamento. Questa situazione ha indotto diverse amministrazioni e servizi pubblici in Europa a sospendere temporaneamente i siti governativi, sanitari e scolastici per mitigare il rischio.

Con oltre 5,1 milioni di host PHP visibili online e circa 3,8 milioni con almeno una porta aperta, la portata delle installazioni potenzialmente vulnerabili è enorme. È importante notare che le versioni PHP 8.1 e precedenti non riceveranno correzioni complete; tuttavia, sono stati forniti backport minimi per PHP 7.4, 8.0 e 8.1 per coloro che compilano da sorgente o non hanno accesso a un vendor LTS.

La raccomandazione principale è quella di aggiornare alle versioni corrette il prima possibile. Per coloro che non possono effettuare l’aggiornamento immediatamente, sono suggerite alcune misure di mitigazione parziale. Queste includono l’impostazione di limiti di memoria appropriati, la restrizione della dimensione delle richieste in ingresso e degli upload di file, l’uso di limiti dei container per contenere l’impatto di un worker vulnerabile, e la disattivazione del tracciamento dell’avanzamento degli upload di sessione.

Inoltre, si consiglia di abilitare i backtrace per gli errori fatali su PHP 8.5, correggere errori applicativi che possono causare crash o timeout, e di evitare impostazioni obsolete che generano messaggi di errore prima dell’inizializzazione completa dell’applicazione. Gli amministratori sono esortati a controllare le pagine ufficiali di download e i canali dei propri vendor per ottenere e installare i pacchetti aggiornati.