Il 26 ottobre 2026 la CISA ha aggiunto CVE-2026-109618 e CVE-2026-109619 al catalogo delle vulnerabilità sfruttate note, il Known Exploited Vulnerabilities (KEV). La classificazione riguarda lo sfruttamento noto dei due difetti di PHP. In Argentina, le informazioni disponibili riguardano le misure riferite da un ex coordinatore del CERT e i segnali di utilizzo di PHP rilevati su una parte dei siti governativi.

Per il contesto iniziale, NeoTeo aveva già trattato le correzioni PHP e le misure di aggiornamento. L’inserimento nel catalogo KEV è lo sviluppo successivo: la CISA ha pubblicato l’avviso il 26 ottobre.

Due vulnerabilità, due meccanismi

Secondo la PHP Foundation, CVE-2026-109618 riguarda una corruzione della memoria in condizioni di esaurimento. In una specifica sequenza, dati interni inizializzati solo in parte possono essere trattati come validi. Con Apache e mod_php, una richiesta non autenticata può innescare il problema prima che venga eseguito il codice dell’applicazione; la Foundation riferisce anche dimostrazioni di esecuzione remota di codice con impostazioni predefinite e attraverso percorsi applicativi PHP-FPM.

CVE-2026-109619 riguarda invece uno stato interno della richiesta che può restare collegato a memoria già liberata dopo un errore fatale. Una richiesta successiva, gestita dallo stesso processo di lavoro, può riutilizzare quella memoria. La PHP Foundation riferisce che un ricercatore ha dimostrato l’esecuzione remota di codice su un’applicazione Apache con mod_php.

Le versioni PHP corrette

Il progetto PHP ha pubblicato le correzioni il 21 ottobre 2026 nelle versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Il bollettino di BA-CSIRT elenca le stesse versioni.

Per PHP 8.1 e i rami precedenti, BA-CSIRT indica che il progetto PHP non offre un nuovo rilascio ufficiale equivalente per queste vulnerabilità. L’indicazione è passare a un ramo supportato oppure applicare gli aggiornamenti di sicurezza distribuiti dal fornitore o dalla distribuzione che mantiene il pacchetto.

Che cosa è stato riferito sui siti argentini

Ariel Cessario, ex coordinatore del CERT argentino, ha riferito che entro il 22 ottobre Argentina.gob.ar e i ministeri della Salute e dell’Economia avevano applicato le misure raccomandate. Il suo resoconto riguarda questi enti specifici.

Un rilevamento esterno di Segu-info, riportato da Clarín, aveva esaminato 13.977 siti su un inventario di 35.847. Nella fotografia del 29 ottobre 2026 alle 13:53, 4.758 siti mostravano segnali di utilizzo di PHP: in 2.354 casi il rilevamento era esplicito, mentre in 2.404 l’uso era dedotto dalle applicazioni individuate. Sono segnali di presenza della tecnologia, non un conteggio di siti vulnerabili o compromessi.

I controlli raccomandati agli amministratori

BA-CSIRT consiglia di controllare la versione di PHP e di verificare ogni ambiente PHP usato dal servizio. L’amministratore dovrebbe quindi installare una versione corretta oppure il pacchetto di sicurezza fornito dal distributore o dal provider. Se il server è gestito da un servizio di hosting, occorre rivolgersi al provider o al team tecnico responsabile. Le misure temporanee non sostituiscono l’aggiornamento.

Aamir Lakhani di Fortinet ha osservato che i test di compatibilità, le finestre di manutenzione e il riavvio dei servizi possono ritardare l’installazione delle correzioni. Per i sistemi con codice legacy, BA-CSIRT indica come alternativa il passaggio a un ramo PHP supportato o l’aggiornamento di sicurezza del fornitore del pacchetto.