Impatto Sistemico

Critico (78.46)

Sintesi

Disponibili pacchetti di aggiornamento e istruzioni di mitigazione per IceWarp Server, suite di posta elettronica aziendale e collaborazione, al fine di fronteggiare le vulnerabilità critiche note come “PHP2Shell” (CVE-2026-109618, CVE-2026-109619 e CVE-2026-115560) presenti nell’interprete PHP integrato nel prodotto.

Tipologia

• Remote Code Execution

Descrizione e potenziali impatti

Facendo seguito a quanto recentemente segnalato da questo CSIRT in merito alle vulnerabilità critiche note come “PHP2Shell” ( AL07/261021/CSIRT-ITA e AL01/261025/CSIRT-ITA ), si evidenzia che il vendor IceWarp ha pubblicato in data odierna un bollettino di sicurezza relativo all’impatto di tali vulnerabilità sui prodotti IceWarp Server per ambienti Windows e Linux.

Poiché IceWarp Server integra nativamente l’interprete PHP, le installazioni on-premises che eseguono una versione non aggiornata di tale componente risultano esposte alle vulnerabilità tracciate tramite le CVE-2026-109618, CVE-2026-109619 e CVE-2026-115560. Tali vulnerabilità, qualora sfruttate, potrebbero consentire a un attaccante remoto non autenticato di eseguire codice arbitrario sui sistemi interessati.

Il vendor ha reso noto di aver già applicato le necessarie misure correttive agli ambienti cloud gestiti direttamente e di non essere attualmente a conoscenza di attività di sfruttamento che abbiano interessato in maniera specifica i prodotti IceWarp. Tuttavia, considerata la disponibilità pubblica di Proof of Concept (PoC) e i tentativi di sfruttamento già osservati in rete a livello globale contro servizi PHP esposti, il rischio per le istanze on-premises non aggiornate rimane critico.

Prodotti e/o versioni affette

Risultano interessate le installazioni on-premises di IceWarp Server (Windows e Linux) prive dei pacchetti di aggiornamento specifici per il componente PHP integrato:

• EPOS Update 3 — 14.3.0.x;
• EPOS Update 2 — 14.2.0.x;
• EPOS Update 1 — 14.1.0.x;
• EPOS — 14.0.0.x;
• Deep Castle 2 Update 3 — 13.0.3.x.

Nota: la versione 14.3.0.13 rilasciata il 22 ottobre 2026 non include nativamente il componente PHP aggiornato e richiede pertanto l’applicazione manuale della patch.

Per le versioni precedenti il vendor dichiara l’indisponibilità di pacchetti correttivi e raccomanda l’aggiornamento a una release successiva, precisando che le misure di configurazione indicate costituiscono una mitigazione parziale.

Azioni di mitigazione

In attesa delle correttive 14.3.0.14 e 14.2.0.17 o successive da applicare tempestivamente a seguito del rilascio del vendor, in linea con le dichiarazioni degli sviluppatori di IceWarp e con le raccomandazioni già fornite da questo CSIRT, si raccomanda di intervenire con la massima tempestività sui sistemi esposti:

• applicare i pacchetti di aggiornamento del componente PHP forniti dal vendor per la versione in uso (e per il sistema operativo in uso) di IceWarp Server (14.3.0.x, 14.2.0.x, 14.1.0.x), seguendo la procedura manuale di sostituzione della directory PHP e di riavvio del servizio IceWarpControl descritta nel bollettino disponibile nella sezione Riferimenti;
• anche a seguito dell’applicazione del pacchetto PHP aggiornato (che risolve le CVE-2026-109618 e CVE-2026-109619), per mitigare la CVE-2026-115560 configurare e mantenere il parametro session.upload_progress.enabled=0 all’interno del file php.ini (e nell’eventuale file di override php.user.ini), riavviando il modulo IceWarpControl per rendere effettiva la modifica;
• per le versioni meno recenti prive di patch, applicare in php.ini e php.user.ini le seguenti impostazioni:
  session.upload_progress.enabled = 0
  memory_limit = -1
  post_max_size = 32M
  upload_max_filesize = 32M
  session.serialize_handler = php

Tali misure costituiscono una mitigazione parziale e limitano gli upload a 32 MB; si raccomanda pertanto la migrazione a una versione aggiornata.

Si raccomanda infine, di monitorare i futuri rilasci IceWarp contenenti le correzioni definitive ; resta altresì da mantenere la mitigazione specifica per CVE-2026-115560 fino a ulteriori indicazioni.