PHP: due vulnerabilità critiche, aggiornamento urgente

Il team PHP ha assegnato a entrambe un punteggio CVSS v4.0 di 9.2 su 10, annunciando un rilascio straordinario per il 21 ottobre 2026 alle 16:00 italiane. Il riferimento è il comunicato ufficiale PHP.

Evidenze disponibili e aspetti da confermare

Il CERT-EU, nell’avviso 2026-018, identifica le vulnerabilità come CVE-2026-109618 e CVE-2026-109619, segnalando il potenziale di esecuzione di codice da remoto senza autenticazione. Il possibile coinvolgimento delle versioni da PHP 5 in avanti deve ancora essere confermato nel perimetro definitivo.

Le vulnerabilità sono discusse pubblicamente con il nome PHP2Shell. GMO Flatt Security, sulla base anche di proprie indagini, indica un possibile coinvolgimento della gestione delle sessioni. Le pubblicazioni dei ricercatori richiamate nell’analisi mostrano corruzione della memoria e dimostrazioni di esecuzione di comandi nel processo PHP. La corrispondenza precisa di questi risultati con le due CVE resta da accertare.

Nel thread Hacker News sono inoltre presenti riferimenti a PoC e video di presunto sfruttamento. Queste segnalazioni non costituiscono, da sole, prova di attacchi generalizzati.

Indicazioni operative

Invitiamo i nostri responsabili ICT ad attivare – con priorità urgente:

• l’individuazione delle istanze PHP, comprese quelle esternalizzate e/o gestite da hosting e fornitori;
• la verifica della disponibilità delle correzioni e la loro applicazione immediata;
• il riavvio dei processi interessati e la verifica del runtime effettivamente in esercizio;
• l’acquisizione di un riscontro sugli interventi affidati a terzi.

Ricordiamo che le organizzazioni dotate di un SGSI ISO/IEC 27001 devono documentare la gestione delle due vulnerabilità, registrando sistemi interessati, valutazione dell’esposizione, responsabili, misure adottate, tempi e verifiche di efficacia, comprese le motivazioni di eventuali rinvii e la gestione dei rischi residui.

Evidenziamo inoltre che i workaround discussi pubblicamente non devono essere considerati sostitutivi della patch.

Qualora non sia possibile applicare tempestivamente le correzioni, il CERT-EU invita a valutare l’isolamento delle applicazioni esposte a Internet dalle reti pubbliche, fino all’applicazione della patch. La decisione richiede una valutazione dell’esposizione e dell’impatto sulla continuità operativa.

Essere aggiornabili prima dell’emergenza

Questa situazione evidenzia un requisito essenziale: i componenti critici devono essere mantenuti su versioni supportate e concretamente aggiornabili in tempi brevi.

Chi utilizza PHP 8.1 o versioni precedenti, ormai fuori supporto ufficiale, non può contare sulle correzioni di sicurezza del progetto PHP. Salvo specifici servizi di manutenzione estesa del proprio distributore o fornitore, potrebbe quindi dover affrontare una migrazione applicativa urgente, con relative incompatibilità e verifiche, proprio durante l’emergenza.

La possibilità di aggiornare rapidamente deve essere preservata nel tempo, gestendo preventivamente dipendenze, compatibilità e fine supporto: non può essere costruita quando la vulnerabilità è già pubblica.

Aggiornamento delle ore 15:30 — Pacchetti, CDN e accessi anonimi

Il rilascio delle correzioni PHP non implica la loro disponibilità contemporanea in tutti i repository. Nel forum OpenLiteSpeed, un amministratore ha dichiarato che i pacchetti LSPHP saranno preparati il più rapidamente possibile una volta disponibile il rilascio upstream, senza indicare una tempistica precisa. Occorre quindi verificare la disponibilità presso il proprio distributore o fornitore.

L’esposizione non è limitata agli utenti autenticati: il CERT-EU segnala il potenziale di esecuzione di codice da remoto senza autenticazione. L’assenza di account pubblici o di registrazioni al CMS non permette quindi di escludere il rischio.

La presenza di una CDN non equivale automaticamente a una protezione dalle vulnerabilità. Un WAF interposto può contribuire alla mitigazione se dispone di regole efficaci e attive e se il server origin non è raggiungibile direttamente aggirando il filtro. La copertura deve essere verificata con il provider e non sostituisce l’aggiornamento PHP. Per gli aspetti di protezione dell’origin, si veda anche la documentazione Cloudflare.

Secondo aggiornamento, ore 15:41 — Correzioni pubblicate e dettagli confermati

Il team PHP ha pubblicato le versioni correttive 8.2.35, 8.3.36, 8.4.27 e 8.5.12, confermando che le vulnerabilità possono consentire esecuzione di codice da remoto senza autenticazione. Sono interessate le installazioni che servono richieste web, comprese PHP-FPM, Apache/mod_php, CGI, FrankenPHP e LiteSpeed. Il produttore indica il rischio maggiore per mod_php.

Sono ora disponibili anche i primi dettagli ufficiali:

• CVE-2026-109618: la gestione di un errore per esaurimento della memoria può interrompere l’inizializzazione dei dati interni della richiesta, che vengono poi trattati impropriamente durante la pulizia.
• CVE-2026-109619: stato interno riferito a memoria già liberata può persistere ed essere utilizzato da una richiesta successiva gestita dallo stesso worker.

PHP precisa che soltanto l’aggiornamento costituisce una soluzione completa. Le modifiche di configurazione riducono l’esposizione a specifici percorsi d’attacco: disabilitare session.upload_progress, in particolare, non risolve entrambe le vulnerabilità.

Aggiornamento del 21 ottobre 2026, ore 19:31 — Disponibili i pacchetti LSPHP

Alle ore 19:31 abbiamo verificato la disponibilità dei pacchetti LSPHP 8.3.36 (8.3.36-1+trixie) nel repository ufficiale LiteSpeed per Debian 13 amd64. LiteSpeed ha reso disponibili in tempi rapidissimi le correzioni anche per chi utilizza OpenLiteSpeed.

Invitiamo i responsabili ICT a verificare gli aggiornamenti disponibili per la propria distribuzione, assicurandosi che tutti i worker PHP utilizzino effettivamente il runtime corretto.

Anche CSIRT Italia dell’Agenzia per la Cybersicurezza Nazionale ha pubblicato l’avviso «PHP2Shell: sanate vulnerabilità critiche in PHP», che aggiungiamo ai riferimenti ufficiali per la gestione dell’allerta.

Stato al 21 ottobre 2026, ora del post: il rilascio è annunciato per questa data; nelle fonti PHP consultabili risulta ancora il preannuncio. L’effettiva disponibilità delle correzioni deve essere verificata sui canali ufficiali e presso i rispettivi distributori. Post in aggiornamento …