Gli sviluppatori del linguaggio di scripting server-side PHP, fondamentale per gran parte della tecnologia web su Internet, stanno per rendere note due vulnerabilità. Sono stati forniti i seguenti numeri di tracciamento CVE, sebbene con informazioni tecniche limitate e senza conferma da parte degli sviluppatori principali riguardo alle versioni interessate.

• CVE-2026-109618
• CVE-2026-109619

A seguito dell’annuncio e della divulgazione della gravità delle vulnerabilità, ricercatori di sicurezza come WatchTowr hanno iniziato a indagare e a fornire dettagli sulla patch in arrivo.

Tra le informazioni fornite, è emerso che si tratta di vulnerabilità di esecuzione di codice remoto con gravi implicazioni – l’esecuzione di codice remoto su un’ampia gamma di versioni a partire da PHP 5. Data l’implementazione di queste tecnologie in applicazioni esposte a Internet, ciò comporta un elevato rischio di sfruttamento remoto. È importante sottolineare che, al momento della stesura di questo articolo, WatchTowr non ritiene che la vulnerabilità sia attualmente oggetto di sfruttamento

I sistemi più a rischio sono tutti quelli che utilizzano PHP. Si tratta di una vasta gamma di tecnologie, tra cui WordPress, Joomla e Magento, già note per essere ampiamente sfruttate.

Al momento della stesura di questo articolo, l’imminente rilascio della patch darà il via a una corsa contro il tempo tra gli autori delle minacce e gli amministratori di sistema per applicare la patch prima che possano essere sviluppati e distribuiti gli exploit. Secondo quanto riferito, sono già disponibili exploit proof-of-concept funzionanti e, di conseguenza, alcuni amministratori di sistema starebbero mettendo temporaneamente fuori servizio i siti web in attesa del rilascio della patch. Le versioni 8.1 o precedenti non riceveranno la patch.

Se gestite un sistema che utilizza PHP nell’ambiente della vostra organizzazione, vi consigliamo di contattare Integrity360 per ricevere consulenza e assistenza.

Aggiornamento: vulnerabilità critica in un’ampia gamma di versioni di PHP che sarà corretta il 21/10/2026

Recentemente sono state identificate due vulnerabilità in PHP, un linguaggio di scripting lato server ampiamente utilizzato che costituisce una componente chiave di molte applicazioni web. PHP ha successivamente rilasciato aggiornamenti di sicurezza per risolvere questi problemi. I seguenti identificatori CVE sono associati alle vulnerabilità.

Le informazioni fornite dagli sviluppatori indicano che le due vulnerabilità, elencate rispettivamente di seguito, riguardano la corruzione dovuta all’esaurimento della memoria e vulnerabilità legate a uno stato globale non aggiornato.

• CVE-2026-109618: la gestione dell’esaurimento della memoria può interrompere PHP mentre i dati interni della richiesta sono inizializzati solo parzialmente. La pulizia della richiesta potrebbe quindi trattare i dati non validi come validi.
• CVE-2026-109619: lo stato interno associato a una richiesta può persistere anche dopo che la memoria su cui risiede è stata liberata. Una richiesta successiva gestita dallo stesso worker potrebbe utilizzare tale stato non aggiornato prima che la normale inizializzazione lo ripristini.

La pubblicazione delle patch per le versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35 rappresenta, secondo gli sviluppatori, l’unica soluzione completa per mitigare la vulnerabilità. Le distribuzioni Linux hanno ricevuto le patch in anticipo, mentre le versioni precedenti, tra cui PHP 8.1 e precedenti, non riceveranno la patch.

Gli sviluppatori di PHP hanno dichiarato che«tutte le installazioni PHP che gestiscono richieste web, inclusi PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed. Riteniamo che il rischio sia massimo per mod_php, con un exploit dimostrato in cui una richiesta non autenticata può innescare l’attacco prima che venga eseguito qualsiasi codice dell’applicazione». I sistemi maggiormente a rischio sono tutti quelli che utilizzano PHP. Si tratta di una vasta gamma di tecnologie, tra cui WordPress, Joomla e Magento, già note per essere ampiamente soggette a exploit.

Al momento della stesura di questo articolo, la patch è stata rilasciata e i gestori dei siti web sono ora invitati ad aggiornare con urgenza tutte le installazioni. Secondo quanto riferito, sono già disponibili exploit proof-of-concept funzionanti e, di conseguenza, alcuni amministratori di sistema starebbero mettendo temporaneamente fuori servizio i siti web fino al rilascio della patch.

Le organizzazioni che non sono in grado di applicare immediatamente i relativi aggiornamenti di sicurezza di PHP dovrebbero prendere in considerazione la possibilità di mettere temporaneamente offline le applicazioni esposte a Internet fino al completamento dell’applicazione della patch. Continuare a utilizzare sistemi vulnerabili potrebbe esporli a rischi di compromissione, in particolare laddove PHP sia direttamente accessibile da utenti non autenticati.

Integrity360 monitorerà il rilascio della patch e fornirà ulteriori approfondimenti man mano che si evolverà la situazione relativa a questa vulnerabilità critica.

Se gestite un sistema che utilizza PHP nell’ambiente della vostra organizzazione, vi consigliamo di contattare Integrity360 per ricevere consulenza e assistenza.