PHP ha rilasciato aggiornamenti di sicurezza d'emergenza per due vulnerabilità critiche che possono consentire l'esecuzione di codice da remoto su server web vulnerabili. Le falle, identificate come CVE-2026-109618 e CVE-2026-109619, secondo quanto riportato interessano un'ampia gamma di installazioni di PHP.
Gli amministratori dovrebbero aggiornare a PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35, a seconda del ramo in uso. Anche Ubuntu ha distribuito pacchetti PHP aggiornati.
Il report di KrebsOnSecurity descrive entrambe le vulnerabilità come zero-day e afferma che alcuni esperti hanno osservato exploit funzionanti e attacchi nel mondo reale. Cloudflare ha riferito separatamente di aver rilevato alcuni episodi di sfruttamento e di aver implementato regole per il web application firewall alle 3:02 UTC.
Come funzionano le due vulnerabilità PHP
Entrambi i difetti riguardano una gestione non sicura della memoria tra i contesti di elaborazione delle richieste di PHP, ma vi arrivano attraverso meccanismi diversi.
Per CVE-2026-109618, PHP usa longjmp() per uscire dal contesto corrente quando si verifica un errore di esaurimento della memoria e interrompere la richiesta. In alcuni contesti, il software può poi eseguire un'allocazione mentre la memoria della richiesta è ancora non inizializzata. Il codice di pulizia può quindi leggere quella memoria oppure prendere decisioni sul flusso di esecuzione in base al suo contenuto. Secondo la descrizione del NVD, più strategie di esaurimento della memoria possono raggiungere in modo affidabile questa condizione e portare all'esecuzione di codice da remoto.
CVE-2026-109619 riguarda lo stato globale di PHP che punta temporaneamente a una memoria appartenente a una richiesta. Quello stato potrebbe non essere azzerato correttamente, oppure potrebbe essere di nuovo popolato dopo un azzeramento. Di conseguenza può continuare a far riferimento alla memoria della richiesta anche dopo che quella memoria è stata liberata. Una richiesta successiva potrebbe leggere questo stato obsoleto o basarsi su di esso per decidere il percorso di esecuzione prima che l'inizializzazione sia completata, creando di nuovo una via verso l'esecuzione di codice da remoto.
Entrambe le vulnerabilità sono associate alle classificazioni CWE-416, CWE-755, CWE-824 e CWE-1325, che riguardano rispettivamente l'uso di memoria già liberata, la gestione impropria delle condizioni eccezionali, l'accesso a puntatori non inizializzati e il controllo improprio dell'allocazione sequenziale della memoria.
Un perimetro ampio, ma descritto in modo diverso
Il report afferma che sono interessati i server web che eseguono PHP 5.4 o versioni successive. Wiz, una delle organizzazioni a cui viene attribuita la scoperta delle falle, sostiene che ogni rilascio di PHP degli ultimi dieci anni è vulnerabile ad almeno una delle due falle.
Lo stesso report dice che quasi il 70 per cento dei siti web dovrebbe aggiornare il proprio software di base, senza però indicare la fonte di questa stima. La percentuale si riferisce ai siti web, non a un conteggio di server, clienti, account o persone coinvolte.
PHP è ampiamente usato dai siti costruiti con Drupal, Magento, Joomla e WordPress. Questo non significa che le vulnerabilità risiedano in quelle piattaforme di gestione dei contenuti e di e-commerce: i difetti segnalati si trovano nel runtime PHP sottostante.
Lo sfruttamento potrebbe portare alla presa di controllo del server e all'esposizione di dati
Cloudflare ha indicato tra le possibili conseguenze la negazione del servizio, l'esecuzione di codice da remoto e l'esposizione di dati. Le sue regole WAF possono aiutare a bloccare il traffico d'attacco riconosciuto, ma non sostituiscono l'installazione dei pacchetti PHP corretti.
Wiz prevede che gli attaccanti puntino a uno sfruttamento su larga scala e installino web shell. Una web shell darebbe a un intruso un meccanismo accessibile dal browser per impartire comandi e mantenere il controllo remoto di un sito compromesso. Si tratta della valutazione di Wiz sul comportamento probabile degli attaccanti, non della prova che ogni tentativo osservato abbia installato uno strumento di questo tipo.
Reuters, citato da KrebsOnSecurity, riferisce che in seguito alla divulgazione delle vulnerabilità sono diventati non raggiungibili siti web governativi in Europa e in altre regioni. Il servizio non ha stabilito che le falle PHP abbiano causato quelle interruzioni.
Wiz e OpenAI descrivono una ricerca di exploit assistita dall'IA
Wiz ha dichiarato che dimostrare la sfruttabilità richiedeva una «catena di passaggi eccezionalmente complessa». L'azienda sostiene che i modelli di IA di frontiera abbiano ridotto in modo sostanziale questa barriera tecnica.
OpenAI, secondo quanto riportato, ha partecipato alla ricerca sulle vulnerabilità e ai contatti con i responsabili, mentre Wiz afferma di aver coordinato le attività con il team di PHP e con OpenAI prima della divulgazione pubblica, per valutare la potenziale portata, verificare le patch e preparare la comunicazione. Il contributo dichiarato dei modelli di IA resta un'affermazione delle organizzazioni coinvolte, non una capacità dimostrata in modo indipendente.
OpenAI ha definito la coppia di falle «una delle questioni di sicurezza più impattanti degli ultimi tempi», citando sia la gravità sia la diffusione capillare di PHP. Wiz ha paragonato la difficoltà di rimedio potenziale a quella di Log4Shell e ha detto che i difetti di PHP esistevano da decenni.
Cosa dovrebbero fare gli amministratori di PHP
Gli operatori dovrebbero identificare la versione di PHP in esecuzione sui server esposti a internet e su quelli interni, comprese le installazioni fornite tramite pannelli di hosting, container, appliance e repository del sistema operativo. Le versioni corrette disponibili sono:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Gli utenti Ubuntu dovrebbero applicare i pacchetti PHP aggiornati forniti dalla distribuzione. Le organizzazioni che usano Cloudflare possono beneficiare delle protezioni WAF implementate di recente, ma dovrebbero comunque applicare la patch al runtime stesso.
Poiché sono state segnalate attività di sfruttamento, i sistemi PHP esposti dovrebbero avere la priorità invece di essere lasciati al ciclo di manutenzione ordinario. Dopo l'aggiornamento, gli amministratori dovrebbero controllare l'attività del server alla ricerca di file accessibili dal web non previsti, esecuzioni di comandi inspiegabili, processi figli insoliti e modifiche non autorizzate che potrebbero indicare una web shell o una compromissione precedente.
