PHP annuncia patch per due falle critiche CVSS 9.2: CVE-2026-109618 e CVE-2026-109619

• PHP rilascia il 21 ottobre 2026 (14:00 UTC) patch per due falle critiche, CVSS v4.0 9.2 ciascuna
• Fonti esterne citano CVE-2026-109618 e CVE-2026-109619, possibile RCE non autenticata
• watchTowr: nessuno sfruttamento noto; versioni colpite non ancora confermate da PHP
• Censire le applicazioni PHP e prepararsi ad applicare subito gli aggiornamenti

Il team di sicurezza di PHP ha avvisato gli utenti dell’arrivo di un rilascio di sicurezza con le correzioni di due vulnerabilità critiche. Entrambe hanno un punteggio CVSS v4.0 di 9.2. Gli aggiornamenti sono previsti per mercoledì 21 ottobre 2026 alle 14:00 UTC. L’avviso ufficiale è stato pubblicato il 20 ottobre.

Cosa dice PHP

PHP ha spiegato che pubblicherà dettagli tecnici, versioni interessate e release corrette insieme alle patch. Il rilascio potrebbe però essere anticipato se una delle due falle diventasse pubblica o emergessero prove di attacchi in corso. L’avviso preventivo non indica i CVE e non descrive il funzionamento dei difetti.

Cosa è emerso da altre fonti

Secondo diverse segnalazioni, le correzioni riguarderebbero CVE-2026-109618 e CVE-2026-109619. La società di sicurezza watchTowr le descrive come vulnerabilità di esecuzione di codice da remoto (remote code execution), che permetterebbero a un attaccante di far girare codice proprio sui server colpiti. Anche l’advisory di CERT-EU cita entrambi gli identificativi e segnala la possibile esecuzione di codice remota senza autenticazione. La sua valutazione si basa in parte su informazioni trapelate.

Questi elementi vanno quindi distinti dai fatti confermati direttamente da PHP. Alcune ricostruzioni parlano di versioni vulnerabili a partire da PHP 5, ma il vendor non ha confermato. Non è noto se le installazioni predefinite siano vulnerabili, quali configurazioni siano necessarie o se alcuni sistemi operativi siano più esposti.

Alcuni primi post indicavano una gravità massima di 10.0. Il punteggio pubblicato da PHP è invece 9.2 su scala CVSS v4.0 per ciascuna falla, ed è quello da usare finché non emergeranno altri dettagli.

Sfruttamento in corso?

Al momento dell’ultimo aggiornamento, watchTowr non segnalava sfruttamento attivo. L’eventuale rilascio anticipato è una precauzione, non la prova di attacchi. Anche le voci su dimostrazioni o exploit trapelati non provano attacchi a bersagli reali.

Il precedente di CVE-2024-4577, un’altra falla PHP, con tentativi di sfruttamento rilevati entro 24 ore dalla divulgazione, spiega perché sia opportuno prepararsi. Non dimostra però che le nuove vulnerabilità siano sfruttate. Le falle nell’estensione SOAP di PHP corrette nel corso del 2026 riguardano componenti diversi: le relative patch non risolvono questi due problemi.

Cosa fare

• Censire fin da ora le applicazioni PHP e individuare chi gestisce ogni installazione.
• Definire come gli aggiornamenti arriveranno in produzione.
• Al rilascio, consultare l’elenco ufficiale delle versioni interessate, applicare le correzioni e verificare la versione di PHP in esecuzione.
• Se non si può applicare subito la patch, CERT-EU suggerisce di valutare l’isolamento dalla rete pubblica delle applicazioni esposte a Internet, tenendo conto di disponibilità del servizio ed esigenze di business.

Nessuna installazione va considerata sicura solo perché la configurazione differisce da quanto circola online.

Fonte: Cyber Security News · Foto: Cyber Security News