Sicurezza
Vulnerabilità critiche di PHP impongono un aggiornamento urgente
Questo articolo è stato tradotto con strumenti di traduzione automatica. Vedi la versione originale
Oggi PHP ha pubblicato le versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35, che correggono due vulnerabilità critiche: con una semplice richiesta web, chiunque senza credenziali può eseguire codice sul tuo server. Se hai PHP in produzione, aggiornare oggi è estremamente urgente.
Se hai la manutenzione con Nebux, come sempre, non devi fare nulla: è già tutto aggiornato.
Cosa sta succedendo
Oggi sono state pubblicate le vulnerabilità CVE-2026-109618 e CVE-2026-109619. Il team di sicurezza di PHP assegna a entrambe un punteggio di 9,2 su 10 secondo CVSS 4.0, lo standard che noi esperti di cybersicurezza usiamo per valutare i rischi.
Colpiscono qualsiasi installazione di PHP che serve richieste web: PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed. Il rischio più alto riguarda mod_php, per cui un attacco è già stato dimostrato.
I dettagli sono trapelati ieri, prima della data prevista, e PHP ha anticipato la pubblicazione di un giorno.
Se non puoi ancora aggiornare
Nel frattempo PHP propone queste misure. Non proteggono del tutto: solo l'aggiornamento lo fa.
Per CVE-2026-109618, imposta questi valori dove l'applicazione non può modificarli, ad esempio con php_admin_value nel pool di FPM o nella configurazione di Apache:
memory_limit = -1
post_max_size = 8M ; 32M se devi caricare file
Non limitare la memoria con RLIMIT_AS né RLIMIT_DATA, perché provocano proprio l'errore che si vuole evitare.
Per CVE-2026-109619:
session.upload_progress.enabled = 0
fatal_error_backtraces = 0 ; solo in PHP 8.5
Poi riavvia tutti i processi di PHP. Non basta modificarli con ini_set() o con un .user.ini.
Se hai PHP 8.1 o precedente
Gli sviluppatori non pubblicano più patch correttive per queste versioni. Il loro team di sicurezza ha preparato correzioni per la 8.1, la 8.0 e la 7.4, ma dovresti compilarle in autonomia per applicarle. La cosa più sicura è passare a una versione supportata, tenendo conto che il supporto della 8.2 termina il 31 dicembre 2026. Puoi verificare fino a quando è supportata la tua versione su endoflife.date.
Cosa succede se sei cliente di Nebux
Tutti i nostri clienti avevano versioni di PHP supportate perché facciamo i compiti per tempo, quindi hanno potuto applicare la patch subito. Il nostro team, appena uscita la notizia, ha preparato un piano di aggiornamento e, quando PHP ha rilasciato le patch, abbiamo aggiornato tutti i servizi. Poiché l'immagine OCI ufficiale di PHP (per Docker, Podman, ecc.) non era ancora stata pubblicata, ne abbiamo creata una temporanea con la patch. Tre ore dopo il rilascio, tutti i servizi erano già aggiornati (parliamo di decine!). E senza costi aggiuntivi: è incluso nel canone mensile.
Il servizio di manutenzione è pensato per prendersi cura di ciò che hai in funzione e farlo continuare a funzionare, con gli aggiornamenti, le vulnerabilità e l'usura di ogni giorno. E soprattutto perché, in casi come questo, si possa aggiornare in tutta semplicità, senza migrazioni affrettate e, naturalmente, senza alcun impatto sulla produzione. E non solo con PHP: tutto il software viene mantenuto aggiornato.
È un canone mensile fisso in base al volume e alla complessità della tua infrastruttura. Se vuoi che ci occupiamo della tua, raccontacelo.