Cisco Talos ha riferito il 22 ottobre 2026 di aver osservato tentativi di sfruttamento di CVE-2026-109618 e CVE-2026-109619 nelle ore successive alla divulgazione. L’attività era composta soprattutto da scansioni e tentativi non coordinati di invio di payload; Talos non ha riferito compromissioni riuscite.
Che cosa ha rilevato Talos
I tentativi osservati non equivalgono a intrusioni riuscite. Talos descrive scansioni e invii di payload, senza riferire che abbiano portato al controllo di un server o alla compromissione di un’organizzazione.
La sequenza delle osservazioni è precisa: nella valutazione iniziale, riferita al 21 ottobre 2026 alle 14:00 UTC, Talos non aveva rilevato attività di sfruttamento. Nell’aggiornamento del 22 ottobre ha poi riferito tentativi osservati nelle ore successive alla divulgazione. Le due valutazioni riguardano momenti diversi.
Le due vulnerabilità nel core di PHP
CVE-2026-109618 e CVE-2026-109619 sono vulnerabilità di esecuzione di codice da remoto senza autenticazione nel core di PHP. Cisco Talos afferma che riguardano le build di PHP dalla versione 5.4 e che ciascuna ha un punteggio CVSS v4.0 di 9,2.
CVE-2026-109618 riguarda la gestione di un esaurimento della memoria durante l’inizializzazione di una richiesta: i dati possono restare parzialmente inizializzati e la procedura di pulizia può trattarli in modo errato. CVE-2026-109619 riguarda invece il riutilizzo di uno stato interno dopo che la memoria associata è stata liberata.
Versioni corrette e misure temporanee
CERT-EU elenca come corrette PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12. I pacchetti delle distribuzioni possono avere numerazioni proprie. Talos raccomanda di passare a una versione corretta: le impostazioni temporanee possono ridurre specifici percorsi di attacco, ma non offrono una protezione completa.
Per i dettagli sulle release corrette, NeoTeo ha già ricostruito quali versioni di PHP correggono le due vulnerabilità.
