PHP ha corretto due falle critiche: versioni e misure

Il 21 ottobre 2026 PHP ha pubblicato correzioni per CVE-2026-109618 e CVE-2026-109619, due vulnerabilità critiche che possono consentire l’esecuzione di codice da remoto senza autenticazione sui sistemi PHP che gestiscono richieste web. Gli amministratori dovrebbero aggiornare alla versione corretta per il proprio ramo e controllare anche i pacchetti o i servizi che includono PHP.

Che cosa comportano le due vulnerabilità

Secondo l’avviso di sicurezza di PHP, CVE-2026-109618 riguarda la gestione di un esaurimento della memoria: un’interruzione può lasciare i dati di una richiesta inizializzati solo in parte, che la procedura di pulizia può trattare come validi. Con CVE-2026-109619, invece, alcune informazioni interne associate a una richiesta possono restare dopo la liberazione della memoria; una richiesta successiva gestita dallo stesso processo può quindi riutilizzare dati non più validi.

PHP indica come esposte le installazioni che servono richieste web e cita PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed. Tra queste configurazioni, PHP considera mod_php quella a rischio più elevato.

Versioni PHP corrette

Le versioni upstream indicate da PHP per correggere le due vulnerabilità sono queste:

Per i pacchetti distribuiti da una distribuzione Linux o da un fornitore di supporto a lungo termine, la versione upstream non basta a identificare lo stato dell’installazione: occorre seguire l’aggiornamento del fornitore che mantiene quel pacchetto.

Rami precedenti e PHP incluso in altri servizi

PHP 8.1 e i rami precedenti non ricevono più aggiornamenti dal progetto PHP. Alcune distribuzioni e alcuni fornitori LTS, però, possono fornire correzioni retroportate, cioè applicate a un ramo precedente. PHP ha inoltre pubblicato backport minimi del codice sorgente per i rami 7.4, 8.0 e 8.1: la loro disponibilità non indica che ogni pacchetto di terzi sia già corretto.

L’avviso del National Cyber Security Centre britannico raccomanda alle organizzazioni di censire le installazioni PHP, dando priorità ai sistemi accessibili da Internet. Il controllo dovrebbe comprendere anche apparecchi e servizi di terzi che integrano PHP. Se un provider gestisce il server o il pacchetto, l’amministratore deve seguire le indicazioni del fornitore per quella specifica installazione.

Se non è possibile aggiornare subito

PHP descrive alcune misure temporanee associate ai singoli percorsi di attacco. Non sostituiscono l’aggiornamento, che resta la soluzione completa.

• CVE-2026-109618: PHP indica di impostare memory_limit=-1 in un file di configurazione che le applicazioni non possano sovrascrivere e di limitare la dimensione del corpo delle richieste. L’avviso precisa che un errore di allocazione della memoria sottostante può comunque raggiungere il percorso vulnerabile.
• CVE-2026-109619: PHP indica di disattivare session.upload_progress prima dell’analisi delle richieste e di riavviare i processi di lavoro. Per un percorso confermato su PHP 8.5, indica anche fatal_error_backtraces=0.

Il NCSC raccomanda di applicare l’aggiornamento o, se necessario, le misure temporanee. Se non è possibile attuare nessuna delle due opzioni in tempo, suggerisce di valutare la messa offline del sistema. Quando non si può aggiornare o disconnettere subito il sistema, consiglia di verificare la possibile presenza di compromissioni e backdoor.

Cosa può fare chi visita un sito

Le vulnerabilità riguardano PHP sul server: la correzione deve essere applicata dall’organizzazione che gestisce il sistema, non dal visitatore del sito.