Impatto Sistemico

Critico (78.46)

Sintesi

Aggiornamenti di sicurezza sanano 2 nuove vulnerabilità con gravità “critica” in PHP, noto interprete del linguaggio di scripting per lo sviluppo web. Tali vulnerabilità interessano la componente php-src e, qualora sfruttate, potrebbero permettere a un utente malintenzionato remoto di eseguire codice arbitrario sui sistemi interessati. Si evidenziano, inoltre, la disponibilità in rete di Proof of Concept (PoC) e lo sfruttamento attivo in rete di entrambe le vulnerabilità.

Tipologia

• Remote Code Execution

Descrizione e potenziali impatti

La vulnerabilità identificata dalla CVE-2026-109618 – di tipo “Use After Free” e con score CVSS v4.0 pari a 9,2 – è dovuta a una gestione non adeguata delle condizioni di esaurimento della memoria (out-of-memory), nelle quali PHP utilizza la funzione longjmp() per interrompere l’elaborazione delle richieste. Tale comportamento può lasciare alcune strutture interne in uno stato non valido, qualora l’interruzione avvenga prima del completamento della loro inizializzazione. Un attaccante remoto non autenticato, tramite richieste opportunamente predisposte – ad esempio sfruttando la gestione delle richieste multipart – potrebbe provocare una condizione di esaurimento della memoria e determinare una corruzione della stessa, con conseguente possibilità di eseguire codice arbitrario con i privilegi del processo worker PHP sui sistemi target.
La vulnerabilità identificata dalla CVE-2026-109619 – di tipo “Use After Free” e con score CVSS v4.0 pari a 9,2 – è dovuta a una gestione non adeguata dello stato globale interno di PHP che, in seguito a errori critici, timeout, condizioni di esaurimento della memoria o determinate operazioni diagnostiche, potrebbe mantenere riferimenti a memoria già liberata. Un attaccante remoto non autenticato, tramite una sequenza di richieste opportunamente predisposte e gestite dallo stesso processo worker, potrebbe provocare l’utilizzo di tali riferimenti durante l’elaborazione di richieste successive, ad esempio attraverso i meccanismi di monitoraggio dell’avanzamento degli upload di sessione o la gestione delle impostazioni di configurazione. Tra le condizioni che possono determinare la persistenza dello stato obsoleto rientra anche la generazione dei backtrace degli errori fatali in PHP 8.5. Lo sfruttamento della vulnerabilità potrebbe consentire l’esecuzione di codice arbitrario con i privilegi del processo worker PHP sui sistemi target.
AGGIORNAMENTO del 23 ottobre 2026
Il vendor ha recentemente segnalato un’ulteriore vulnerabilità, identificata dalla CVE-2026-115560, che potrebbe consentire l’esecuzione di codice da remoto in presenza di determinate condizioni applicative e di configurazione. Nel dettaglio, tale vulnerabilità potrebbe essere sfruttata qualora il parametro session.serialize_handler, inizialmente configurato su php_binary o php_serialize, venga modificato a php durante l’esecuzione dell’applicazione, prima dell’avvio della sessione, e la funzionalità di monitoraggio dell’avanzamento degli upload di sessione risulti abilitata.
In attesa del rilascio delle nuove correttive, si raccomanda di disabilitare tale funzionalità impostando session.upload_progress.enabled=0. Qualora tale misura sia già stata applicata, non sono necessari ulteriori interventi per lo specifico vettore di attacco. Il vendor ha sottolineato che pubblicherà un bollettino di sicurezza specifico in occasione del prossimo rilascio.

Prodotti e versioni affette

PHP

• 8.5.x, versioni precedenti alla 8.5.12
• 8.4.x, versioni precedenti alla 8.4.27
• 8.3.x, versioni precedenti alla 8.3.36
• 8.2.x, versioni precedenti alla 8.2.35

Azioni di mitigazione

Si raccomanda di aggiornare i prodotti vulnerabili seguendo le indicazioni dei bollettini di sicurezza riportati nella sezione Riferimenti.
Si evidenzia che per tutte le versioni di PHP 8.1 e precedenti il vendor non rilascerà alcun workaround e/o patch considerata la data di fine supporto (EOL).
Si sottolinea che, indipendentemente dall’applicazione degli aggiornamenti di sicurezza, si raccomanda di effettuare attività di threat hunting, mediante l’analisi retrospettiva dei log e degli eventi di sicurezza disponibili, al fine di individuare eventuali segnali di sfruttamento delle vulnerabilità o di compromissione dei sistemi interessati. In particolare, si suggerisce di verificare la presenza di richieste HTTP anomale, errori ricorrenti relativi a situazioni di esaurimento della memoria, interruzioni inattese dei processi PHP ed eventuali comportamenti sospetti successivi, quali l’esecuzione di processi non previsti, modifiche non autorizzate ai file applicativi o connessioni di rete anomale o non autorizzate.
Qualora non fosse possibile applicare tempestivamente gli aggiornamenti di sicurezza, si raccomanda di valutare di porre offline i siti e i servizi web che utilizzano versioni vulnerabili di PHP, sospendendone l’accessibilità fino all’avvenuto aggiornamento.