Il PHP Security Team ha pubblicato gli aggiornamenti di sicurezza per correggere due vulnerabilità critiche nel motore PHP, identificate come CVE-2026-109618 e CVE-2026-109619, entrambe caratterizzate da un punteggio CVSS v4.0 pari a 9.2.

Le vulnerabilità interessano il motore PHP, comprese le versioni più recenti, e derivano da errori nella gestione della memoria. In determinate configurazioni, lo sfruttamento può avvenire attraverso richieste HTTP opportunamente predisposte, anche prima dell’esecuzione del codice applicativo.

Il produttore ha confermato la possibilità di esecuzione di codice da remoto in ambienti Apache con mod_php e, per specifiche condizioni di sfruttamento, anche in ambienti PHP-FPM.

Sono già disponibili online diversi Proof-of-Concept (PoC) che dichiarano di sfruttare le vulnerabilità. Sebbene la loro efficacia non sia stata ancora pienamente verificata, la disponibilità di tali strumenti aumenta il rischio di tentativi di attacco contro i sistemi PHP esposti su Internet.

Versioni interessate

Di seguito riportate le seguenti versioni correttive:

Versione PHP	Aggiornamento
PHP 8.5.x	8.5.12
PHP 8.4.x	8.4.27
PHP 8.3.x	8.3.36
PHP 8.2.x	8.2.35

Per le versioni precedenti, non più supportate, è necessario verificare la disponibilità di patch o procedere alla migrazione verso una versione supportata.

Le vulnerabilità possono interessare anche CMS, applicazioni web, appliance e interfacce di amministrazione che utilizzano PHP. L’aggiornamento del solo CMS o dei relativi plugin non corregge le vulnerabilità dell’interprete PHP.

Verifiche e interventi raccomandati

Il CERT-AGID raccomanda di applicare tempestivamente gli aggiornamenti di sicurezza, dando priorità ai servizi PHP esposti su Internet, in particolare quelli che utilizzano Apache con mod_php, per i quali è stata confermata la possibilità di esecuzione di codice da remoto senza autenticazione.

Per individuare e verificare i sistemi interessati, si raccomanda di:

1. Identificare la modalità di esecuzione di PHP. Verificare se i servizi utilizzano Apache con mod_php, PHP-FPM o altri ambienti di esecuzione.
2. Verificare la versione PHP effettivamente utilizzata dalle applicazioni web. Il comando php -v restituisce la versione dell’interprete da riga di comando, che potrebbe differire da quella utilizzata dal web server. Per le distribuzioni Linux che applicano patch in backport, verificare gli avvisi di sicurezza del distributore.
3. Verificare l’effettiva applicazione delle correzioni. Dopo l’aggiornamento, accertarsi che i processi Apache o PHP-FPM siano stati riavviati e che utilizzino la versione corretta dell’interprete.
4. Correlare richieste HTTP ed eventi di sistema. Prestare particolare attenzione a richieste POST anomale, errori Allowed memory size exhausted, crash o riavvii inattesi dei processi PHP ed eventuali processi figli non riconducibili al normale funzionamento delle applicazioni.

Controlli rapidi sui sistemi Linux

Per identificare la presenza del modulo PHP in Apache:

apachectl -M 2>/dev/null | grep -i php

Per individuare i processi PHP-FPM attivi:

ps -eo pid,ppid,args | grep '[p]hp-fpm'

Per verificare la versione PHP disponibile da riga di comando:

php -v

In assenza di aggiornamenti immediatamente applicabili, si raccomanda di limitare l’accesso ai servizi esposti e valutare mitigazioni temporanee, quali la disabilitazione di session.upload_progress.enabled se non necessario e l’applicazione di limiti alle richieste HTTP tramite web server o WAF.

Va ricordato che le mitigazioni sono parziali e non sostituiscono l’installazione delle correzioni di sicurezza.

Riferimenti

• PHP Security Advisory, CVE-2026-109618
• PHP Security Advisory, CVE-2026-109619
• CERT-EU, Security Advisory 2026-018