Il 21 ottobre 2026 il CSIRT Italia, il servizio dell’Agenzia per la cybersicurezza nazionale, ha pubblicato l’alert AL07/261021/CSIRT-ITA su due vulnerabilità di PHP, l’interprete del linguaggio di scripting usato per lo sviluppo web. Le due falle, identificate come CVE-2026-109618 e CVE-2026-109619, hanno gravità critica: il punteggio CVSS v4.0 (una scala da 0 a 10 che misura la severità di una vulnerabilità) è 9,2 per entrambe. Secondo l’alert sono disponibili in rete dimostrazioni di sfruttamento, dette Proof of Concept (PoC).
Chi è coinvolto
Le vulnerabilità riguardano la componente php-src. Secondo l’alert sono affette queste versioni di PHP:
- 8.5.x, versioni precedenti alla 8.5.12
- 8.4.x, versioni precedenti alla 8.4.27
- 8.3.x, versioni precedenti alla 8.3.36
- 8.2.x, versioni precedenti alla 8.2.35
Per tutte le versioni di PHP 8.1 e precedenti il produttore non rilascerà workaround né patch, perché il supporto è terminato (EOL, end of life).
Che rischio c’è
Entrambe le falle sono di tipo “Use After Free”: il programma continua a usare un’area di memoria che aveva già restituito al sistema. Il risultato può essere una corruzione della memoria, che apre la strada all’esecuzione di codice scelto da chi attacca.
La prima, CVE-2026-109618, nasce da come PHP gestisce l’esaurimento della memoria. In quel caso interrompe l’elaborazione della richiesta con la funzione longjmp(), ma l’interruzione può lasciare alcune strutture interne in uno stato non valido. Secondo l’alert, un attaccante remoto senza autenticazione potrebbe provocare la condizione con richieste costruite ad arte, ad esempio tramite la gestione delle richieste multipart.
La seconda, CVE-2026-109619, riguarda lo stato globale interno di PHP. Dopo errori critici, timeout, esaurimento della memoria o alcune operazioni diagnostiche, PHP potrebbe conservare riferimenti a memoria già liberata. Una sequenza di richieste gestite dallo stesso processo worker, cioè il processo che serve le richieste web, potrebbe sfruttarli durante l’elaborazione di richieste successive. L’alert cita il monitoraggio dell’avanzamento degli upload di sessione e la gestione delle impostazioni di configurazione. Tra le condizioni indicate ci sono anche i backtrace degli errori fatali in PHP 8.5.
In entrambi i casi il codice verrebbe eseguito con i privilegi del processo worker PHP. L’impatto sistemico è classificato dall’alert come critico (78.46).
Cosa fare
L’alert raccomanda di aggiornare i prodotti vulnerabili seguendo i bollettini di sicurezza indicati nei riferimenti, pubblicati sul sito di PHP e negli avvisi GitHub di php-src.
Indipendentemente dall’aggiornamento, il CSIRT Italia consiglia di fare threat hunting, cioè un’analisi retrospettiva dei log e degli eventi di sicurezza, per cercare segnali di sfruttamento. Vanno controllati in particolare:
- richieste HTTP anomale;
- errori ricorrenti di esaurimento della memoria;
- interruzioni inattese dei processi PHP;
- processi non previsti, modifiche non autorizzate ai file applicativi e connessioni di rete anomale o non autorizzate.
Se non è possibile applicare subito gli aggiornamenti, l’alert suggerisce di valutare di mettere offline i siti e i servizi web che usano versioni vulnerabili, fino all’avvenuto aggiornamento.
Come verifiche generali, conviene controllare quale versione di PHP è in uso sui propri siti e avvisare il fornitore IT o il servizio di hosting, se la gestione dei server è affidata a terzi.
Fonte: alert AL07/261021/CSIRT-ITA del CSIRT Italia, Agenzia per la cybersicurezza nazionale, pubblicato il 21 ottobre 2026 (impatto sistemico critico). Leggi l’alert originale.
