PHP: individuate due vulnerabilità critiche di sicurezza (CVE-2026-109618 e CVE-2026-109619)

Sono state segnalate due gravi vulnerabilità di sicurezza che interessano PHP, identificate come CVE-2026-109618 e CVE-2026-109619, con un livello di gravità riportato pari a CVSS 9.2 su 10.

Secondo le informazioni preliminari, le vulnerabilità potrebbero consentire, in determinate condizioni, l'esecuzione remota di codice non autorizzato sui server che utilizzano PHP, potenzialmente anche senza autenticazione.

I dettagli tecnici completi, le condizioni necessarie per lo sfruttamento e l'elenco definitivo delle versioni interessate dovranno essere confermati attraverso gli avvisi ufficiali.

Quando saranno disponibili gli aggiornamenti?

Il rilascio degli aggiornamenti di sicurezza PHP è previsto per il 21 ottobre 2026 alle ore 16:00 italiane (14:00 UTC).

Successivamente, i fornitori delle distribuzioni Linux e dei pannelli di controllo dovranno rendere disponibili i rispettivi pacchetti aggiornati.

La disponibilità effettiva delle correzioni potrà quindi variare in base al sistema operativo, ai repository utilizzati e alla distribuzione PHP installata.

Quali misure adottare nell'attesa?

In attesa delle patch ufficiali, gli amministratori di sistema possono valutare alcune misure precauzionali per ridurre la superficie di attacco.

1. Disabilitare il monitoraggio dell'avanzamento degli upload PHP
Una delle mitigazioni temporanee proposte consiste nel disabilitare la funzionalità PHP che monitora l'avanzamento dei caricamenti, impostando nel file di configurazione PHP:

session.upload_progress.enabled = Off

Questa impostazione può ridurre l'esposizione a uno dei possibili vettori di attacco indicati nelle analisi preliminari.

Si precisa che questa misura non costituisce una soluzione definitiva e non è confermata come protezione completa contro entrambe le vulnerabilità.

2. Limitare temporaneamente le richieste multipart
Nei siti e nelle applicazioni che non necessitano di funzionalità di caricamento file, è possibile valutare il blocco temporaneo delle richieste HTTP con Content-Type multipart/form-data, intervenendo sul web server o sul firewall applicativo.

Tale misura potrebbe tuttavia compromettere il funzionamento di moduli di contatto, caricamento di allegati, upload di immagini e altre funzionalità delle applicazioni web.

Il blocco deve pertanto essere valutato attentamente e applicato esclusivamente dove tecnicamente opportuno.

3. Limitare l'esposizione delle applicazioni non necessarie
È consigliabile limitare l'accesso pubblico alle applicazioni PHP non indispensabili, con particolare attenzione agli ambienti amministrativi, di sviluppo e di test.

È importante ricordare che firewall applicativi, sistemi di protezione dei CMS e altre misure di sicurezza tradizionali potrebbero non essere sufficienti a prevenire lo sfruttamento delle vulnerabilità.

L'importanza degli aggiornamenti PHP

La soluzione definitiva consiste nell'installazione delle versioni PHP corrette, non appena disponibili attraverso i rispettivi canali ufficiali.

Particolare attenzione deve essere riservata alle versioni PHP che hanno raggiunto la fine del supporto ufficiale, per le quali potrebbero non essere previsti aggiornamenti direttamente dal progetto PHP.

In questi casi sarà necessario valutare il passaggio a una versione supportata oppure verificare la disponibilità di patch di sicurezza fornite dal proprio distributore, come nel caso delle versioni PHP mantenute attraverso programmi di supporto esteso.

La gestione della sicurezza sui servizi DominiOK

DominiOK sta monitorando attentamente l'evoluzione della situazione e la disponibilità degli aggiornamenti di sicurezza da parte dei fornitori delle piattaforme utilizzate.

Eventuali misure temporanee di mitigazione saranno valutate e adottate laddove tecnicamente applicabili, tenendo conto della sicurezza e della continuità dei servizi.

Per i servizi di hosting condiviso gestiti da DominiOK, gli interventi di aggiornamento e manutenzione dell'infrastruttura vengono normalmente effettuati direttamente dal nostro personale tecnico, senza richiedere operazioni specifiche da parte dei clienti.

I clienti che utilizzano VPS o server dedicati con gestione autonoma sono invece invitati a verificare la propria configurazione PHP e a predisporre l'installazione degli aggiornamenti di sicurezza non appena disponibili.

Ricordiamo che queste vulnerabilità riguardano l'interprete PHP e che, pertanto, l'aggiornamento dei singoli CMS, temi o plugin non sostituisce l'installazione delle necessarie patch di sicurezza PHP.

Continueremo a seguire gli sviluppi e ad aggiornare le informazioni in funzione delle comunicazioni ufficiali.

Fonti e approfondimenti

• PHP – Sito ufficiale
• CERT-EU – Avviso di sicurezza
• CloudLinux – Stato degli aggiornamenti PHP
• Approfondimento tecnico e mitigazioni temporanee