Due vulnerabilità individuate in PHP, una delle tecnologie più utilizzate per il funzionamento di siti e applicazioni web, hanno portato il team responsabile dello sviluppo e della manutenzione di PHP a pubblicare aggiornamenti straordinari di sicurezza il 21 ottobre 2026. Le falle possono consentire l’esecuzione remota di codice senza autenticazione, esponendo i sistemi vulnerabili al rischio di compromissione.
Identificate come CVE-2026-109618 e CVE-2026-109619, entrambe hanno ricevuto un punteggio CVSS 4.0 di 9,2 su 10, corrispondente a una gravità critica. Gli advisory ufficiali documentano scenari di sfruttamento che interessano la gestione della memoria e il trattamento delle richieste web.
Il PHP Security Team ha confermato che l’aggiornamento rappresenta l’unica misura completa di protezione. Le possibili mitigazioni temporanee possono limitare alcuni percorsi di attacco, senza eliminare tutte le condizioni che rendono vulnerabile il sistema.
Per le imprese, l’avviso pone una questione che va oltre la manutenzione di un linguaggio di programmazione. PHP può essere presente in servizi digitali gestiti internamente oppure affidati a fornitori esterni. Sapere quali applicazioni lo utilizzano e chi ne cura gli aggiornamenti diventa quindi essenziale per valutare tempestivamente l’esposizione al rischio.
Indice dei contenuti
Quali server PHP sono maggiormente esposti
Le vulnerabilità interessano il funzionamento interno di PHP e possono manifestarsi in diverse modalità di esecuzione, comprese configurazioni basate su Apache con mod_php, PHP-FPM, FrankenPHP e LiteSpeed, come approfondito nell’analisi di CERT-AGID.
La loro sfruttabilità varia tuttavia in funzione dell’ambiente.
Per Apache con mod_php è stata dimostrata la possibilità di eseguire codice da remoto attraverso richieste HTTP non autenticate, sfruttando condizioni che si verificano prima dell’esecuzione del codice applicativo. Per PHP-FPM sono stati documentati scenari di sfruttamento legati a specifiche condizioni dell’applicazione, mentre per altre modalità di esecuzione l’effettiva esposizione può dipendere da ulteriori caratteristiche della configurazione.
Questa distinzione è importante perché il punteggio critico delle vulnerabilità non implica che ogni installazione PHP presenti esattamente lo stesso rischio operativo.
La priorità rimane comunque elevata per i sistemi raggiungibili da internet, soprattutto quando gestiscono applicazioni aziendali, portali clienti o servizi essenziali.
Due vulnerabilità nella gestione della memoria
La prima vulnerabilità, CVE-2026-109618, riguarda la gestione delle condizioni di memoria esaurita, note come out of memory. In determinate circostanze, PHP può interrompere l’elaborazione di una richiesta mentre alcune strutture interne non sono ancora state inizializzate correttamente. Le successive operazioni di chiusura possono quindi utilizzare informazioni in uno stato non valido.
Gli advisory descrivono come particolari richieste web possano provocare queste condizioni e, nelle configurazioni vulnerabili, consentire l’esecuzione remota di codice.
La seconda vulnerabilità, CVE-2026-109619, interessa invece la persistenza di informazioni interne oltre la conclusione della richiesta alla quale appartenevano. Alcuni riferimenti possono rimanere accessibili anche dopo che la relativa memoria è stata liberata. Quando lo stesso processo PHP gestisce una richiesta successiva, l’utilizzo di questi riferimenti può generare una condizione di use-after-free.
Le conseguenze documentate comprendono la possibilità di accedere a memoria non più valida e, attraverso specifiche condizioni di sfruttamento, arrivare all’esecuzione remota di codice.
Un eventuale attacco riuscito opererebbe con i privilegi del processo web coinvolto. L’impatto concreto dipenderebbe quindi anche dalle autorizzazioni assegnate al servizio e dall’accesso che questo possiede a file, dati e altre risorse dell’infrastruttura.
Le versioni corrette e il problema dei sistemi non più supportati
Le correzioni ufficiali sono state distribuite con PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12. Le installazioni precedenti appartenenti a questi rami devono essere aggiornate oppure protette attraverso pacchetti che includano le correzioni del rispettivo fornitore.
Una verifica specifica è necessaria per le versioni più vecchie, che non ricevono più il normale supporto di sicurezza dal progetto PHP come indicato nella documentazione ufficiale sulle versioni supportate. In questi casi l’eventuale disponibilità di correzioni dipende dai distributori del sistema operativo o da servizi di manutenzione dedicati.
La presenza di una numerazione precedente non dimostra sempre, da sola, che un pacchetto distribuito da un fornitore Linux sia privo di correzioni: alcuni produttori applicano infatti aggiornamenti di sicurezza alle versioni mantenute nei propri sistemi. È necessario verificare gli avvisi del fornitore e la versione effettiva del pacchetto installato.
L’emergenza evidenzia inoltre un problema di pianificazione. PHP 8.2 raggiungerà la fine del supporto ufficiale il 31 dicembre 2026. Le imprese che lo utilizzano dovrebbero quindi affiancare alla correzione immediata delle vulnerabilità una valutazione del passaggio a un ramo supportato per gli anni successivi.
| Versione PHP | Versione minima sicura | Stato | Supporto sicurezza fino al |
| PHP 8.5 | 8.5.12 | 🟢 Sicura – ultima generazione | 31 dicembre 2029 |
| PHP 8.4 | 8.4.27 | 🟢 Sicura – consigliata | 31 dicembre 2028 |
| PHP 8.3 | 8.3.36 | 🟢 Sicura | 31 dicembre 2027 |
| PHP 8.2 | 8.2.35 | 🟡 Sicura, ma prossima a fine supporto | 31 dicembre 2026 |
| PHP 8.1 e precedenti | — | 🔴 Non più supportate | Scaduto |
Aggiornare rapidamente, senza trascurare la continuità operativa
La necessità di intervenire con urgenza non elimina l’importanza di verificare la compatibilità delle applicazioni.
Un aggiornamento PHP può coinvolgere estensioni, librerie, framework e componenti utilizzati dal sito o dal servizio aziendale. Quando è necessario passare a un ramo principale più recente, la valutazione delle compatibilità assume un peso ancora maggiore.
Per i sistemi critici è quindi opportuno coordinare l’intervento con chi gestisce l’infrastruttura, predisporre le verifiche necessarie e controllare il funzionamento delle applicazioni dopo l’aggiornamento. La disponibilità di backup e di una procedura di ripristino verificata contribuisce a ridurre i rischi operativi dell’intervento.
Anche il riavvio dei processi PHP è parte della verifica tecnica: i servizi in esecuzione devono utilizzare effettivamente le componenti aggiornate.
La conferma dell’installazione di una patch dovrebbe essere accompagnata da un controllo sul servizio reale, soprattutto quando l’applicazione è distribuita su più server, ambienti o processi.
Quando la sicurezza dipende da un fornitore esterno
La gestione delle vulnerabilità PHP coinvolge spesso diversi soggetti, soprattutto quando siti web e applicazioni aziendali sono ospitati su infrastrutture esterne. Hosting provider, sviluppatori e responsabili IT possono intervenire su componenti differenti dello stesso servizio, rendendo necessario un coordinamento delle attività di verifica e aggiornamento.
In presenza di vulnerabilità critiche, gli interventi possono comprendere il controllo delle versioni PHP utilizzate, la verifica degli aggiornamenti di sicurezza applicati dai provider e l’analisi della compatibilità delle applicazioni con le versioni corrette.
Quando necessario, le attività di aggiornamento e messa in sicurezza vengono coordinate con i fornitori infrastrutturali, tenendo conto delle caratteristiche tecniche dei singoli ambienti e delle esigenze di continuità operativa.
Una gestione efficace richiede quindi una visione complessiva dell’infrastruttura, responsabilità ben definite e verifiche successive agli aggiornamenti, affinché le correzioni siano effettivamente applicate ai servizi interessati.
Una vulnerabilità critica non dimostra che sia avvenuto un attacco
Un aspetto da trattare con particolare attenzione riguarda la distinzione tra vulnerabilità e incidente informatico.
La presenza di una versione PHP vulnerabile indica che il sistema può essere esposto a determinate modalità di attacco. Non dimostra che queste siano state effettivamente utilizzate.
La gestione della vulnerabilità richiede aggiornamento, verifica e valutazione dell’esposizione. Se invece emergono elementi compatibili con un tentativo di compromissione riuscito, diventa necessario approfondire l’accaduto attraverso le procedure di gestione degli incidenti.
I log dei server e delle applicazioni possono fornire informazioni utili, ma presentano limiti. Gli stessi advisory PHP precisano che alcune condizioni possono verificarsi senza produrre registrazioni immediatamente riconoscibili. L’assenza di anomalie nei log, pertanto, non rappresenta una prova definitiva dell’assenza di sfruttamento.
Una valutazione attendibile richiede di considerare le evidenze disponibili, la configurazione del sistema e l’eventuale presenza di indicatori di compromissione.
La capacità di reagire dipende dalla conoscenza dell’infrastruttura
Le vulnerabilità PHP mostrano quanto sia importante disporre di informazioni aggiornate sulle tecnologie utilizzate dall’impresa.
Quando viene pubblicato un bollettino critico, la prima difficoltà può essere capire quali servizi siano interessati. Un’applicazione sviluppata anni prima, un portale affidato a un fornitore o un sistema interno poco documentato possono richiedere verifiche che rallentano la risposta.
La gestione delle vulnerabilità diventa più efficace quando è collegata all’inventario degli asset, alla conoscenza delle dipendenze tecnologiche e alla valutazione della criticità dei servizi.
Un server esposto pubblicamente, che gestisce dati sensibili o sostiene un processo essenziale, richiede un’attenzione diversa rispetto a un ambiente isolato e utilizzato per attività non critiche. Il punteggio CVSS aiuta a comprendere la gravità tecnica, mentre il contesto aziendale permette di stabilire la priorità degli interventi.
La sicurezza informatica richiede attenzione e continuità
Le vulnerabilità PHP pubblicate il 21 ottobre 2026 evidenziano quanto la sicurezza dei servizi digitali dipenda dalla conoscenza delle tecnologie utilizzate e dalla loro manutenzione nel tempo.
Infrastrutture web, applicazioni e piattaforme aziendali sono oggi parte integrante delle attività operative. La loro affidabilità richiede aggiornamenti regolari, attenzione all’evoluzione delle minacce e una gestione consapevole delle componenti tecnologiche.
In EOC ci siamo già attivati per approfondire le vulnerabilità segnalate, analizzarne le possibili implicazioni e valutare gli interventi necessari nell’ambito dei sistemi e dei servizi digitali che gestiamo. Un’attività che rientra nel nostro impegno costante nel monitorare l’evoluzione tecnologica e adottare le misure più appropriate per garantire affidabilità e continuità ai progetti dei nostri clienti.
In un contesto digitale sempre più articolato, mantenere sicuri e aggiornati i sistemi informatici rappresenta un elemento fondamentale per la continuità e l’affidabilità dei servizi aziendali.
Fonti:
