Critical Vulnerabilities in PHP

Ein Angreifer kann eine Schwachstelle in PHP ausnutzen, um beliebigen Programmcode auszuführen.

An Alert is used to raise awareness of a recently identified cyber threat that may impact cyber information assets, and to provide additional detection and mitigation advice to recipients. The Canadian Centre for Cyber Security ("Cyber Centre") is also available to provide additional assistance regarding the content of this Alert to recipients as requested.

An Alert is used to raise awareness of a recently identified cyber threat that may impact cyber information assets, and to provide additional detection and mitigation advice to recipients. The Canadian Centre for Cyber Security ("Cyber Centre") is also available to provide additional assistance regarding the content of this Alert to recipients as requested.

On 20 October 2026, the PHP project announced an upcoming security release addressing two critical vulnerabilities in PHP [1]. Public reports indicated that these vulnerabilities could lead to remote code execution (RCE) [2,3]. The PHP team released the fixes today, 21 October 2026 at 13:30 UTC, in PHP versions 8.5.12, 8.4.27, 8.3.36 and 8.2.35 [4]. Both vulnerabilities can allow unauthenticated remote code execution. Technical details are now being discussed publicly, and initial proofs of concept (PoCs) have begun to circulate. This raises the likelihood that attackers are already exploiting the vulnerabilities. [New] On 23 October, PHP disclosed a new RCE vulnerability. However, it affects only web applications configured in an unusual way, and PHP considers it an unlikely risk. PHP will not issue an out-of-band release for this vulnerability [8]. Instead, organisations are advised to apply mitigation to fully protect from this RCE vector [4]. CERT-EU advises organisations to patch affected assets immediately. Where that is not feasible, organisations should consider isolating internet-facing applications from public networks until a fix is applied and verified.

De multiples vulnérabilités ont été découvertes dans Palo Alto Networks PAN-OS. Elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance. Palo Alto Networks indique que les vulnérabilités CVE-2026-109618 et CVE-2026-109619 sont activement exploitées.

Facendo seguito alle precedenti comunicazioni relative alle vulnerabilità critiche "PHP2Shell" ( AL07/261021/CSIRT-ITA , AL01/261025/CSIRT-ITA e AL10/261028/CSIRT-ITA ), si evidenzia che Check Point ha pubblicato un bollettino di sicurezza riguardante l'impatto di tali vulnerabilità sui propri prodotti Firewall, Cloud Firewall, Security Gateway e Spark Firewall. Secondo quanto comunicato dal vendor, risultano interessati i prodotti Check Point che utilizzano una o più delle seguenti funzionalità: Mobile Access Portal (non applicabile ai dispositivi Spark Firewall) Remote Access VPN con SSL Network Extender (non applicabile ai dispositivi Spark Firewall) Remote Access VPN con autenticazione SAML Realm abilitata Identity Awareness Captive Portal abilitato UserCheck Portal Zero Phishing Poiché le vulnerabilità CVE-2026-109618 e CVE-2026-109619 interessano il runtime PHP integrato nei prodotti affetti, un eventuale sfruttamento potrebbe consentire ad un attaccante remoto non autenticato di eseguire codice arbitrario sui firewall vulnerabili attraverso richieste opportunamente predisposte verso le interfacce web esposte. Check Point ha precisato che i prodotti Security Management Server e Log Server non risultano vulnerabili, così come i servizi Check Point Portal e SaaS, già opportunamente aggiornati. Il vendor ha inoltre dichiarato che i propri prodotti non risultano affetti dalla vulnerabilità CVE-2026-115560. Alla luce dell'elevato impatto associato alle vulnerabilità e della disponibilità pubblica di informazioni tecniche sul loro sfruttamento, si raccomanda di procedere con tempestività all'applicazione delle correzioni rilasciate dal vendor e all'implementazione delle misure di mitigazione suggerite nel relativo bollettino di sicurezza riportato nella sezione Riferimenti.

Facendo seguito a quanto recentemente segnalato da questo CSIRT in merito alle vulnerabilità critiche note come "PHP2Shell" ( AL07/261021/CSIRT-ITA , AL01/261025/CSIRT-ITA e AL10/261028/CSIRT-ITA ), si evidenzia che ESET ha pubblicato un bollettino di sicurezza relativo all'impatto di tali vulnerabilità sui prodotti della famiglia ESET Endpoint Encryption. Poiché le vulnerabilità CVE-2026-109618 e CVE-2026-109619 interessano il runtime PHP, i sistemi che eseguono versioni vulnerabili del componente potrebbero risultare esposti a scenari di compromissione che, qualora sfruttati con successo, consentirebbero ad un attaccante remoto di eseguire codice arbitrario sui sistemi interessati. Per ESET Endpoint Encryption Server è stata predisposta una versione aggiornata che integra una release di PHP che risolve le vulnerabilità in oggetto. Per i clienti che necessitino di un intervento immediato prima dell'installazione della nuova release, il vendor raccomanda l'aggiornamento manuale del runtime PHP. Per ESET Endpoint Encryption Cloud Proxy ed ESET Endpoint Encryption Licensing Server, il vendor ha dichiarato di aver completato le attività di analisi e mitigazione. In particolare, Cloud Proxy è stato oggetto dell'implementazione di ulteriori controlli di sicurezza, mentre per Licensing Server i meccanismi di protezione già presenti, inclusi il blocco delle richieste multipart e l'assenza di funzionalità di upload dei file, risultano idonei a ridurre significativamente la superficie di attacco associata alle vulnerabilità in oggetto. Pur non risultando al momento attività di sfruttamento note specificamente rivolte ai prodotti ESET, la disponibilità pubblica di Proof of Concept (PoC) per le vulnerabilità PHP e i tentativi di sfruttamento osservati in rete contro servizi vulnerabili rendono opportuno procedere con tempestività all'applicazione delle misure correttive e delle mitigazioni raccomandate dal vendor.

Facendo seguito a quanto già segnalato da questo CSIRT nell’ambito degli alert AL07/261021/CSIRT-ITA e AL01/261025/CSIRT-ITA , relativi alle vulnerabilità critiche note come “PHP2Shell”, si evidenzia la necessità di estendere le attività di verifica anche ai prodotti di terze parti che integrano PHP come componente software. Nel dettaglio, le vulnerabilità CVE-2026-109618 e CVE-2026-109619, descritte nelle precedenti comunicazioni, potrebbero interessare non soltanto le installazioni di PHP direttamente gestite dagli amministratori, ma anche prodotti di terze parti che integrano tale componente, tra cui applicazioni, apparati di rete e dispositivi dotati di interfacce web di gestione. Qualora tali prodotti utilizzino versioni vulnerabili di PHP in condizioni che ne consentano lo sfruttamento, un attaccante remoto non autenticato potrebbe inviare richieste HTTP/HTTPS opportunamente predisposte al fine di eseguire codice arbitrario con i privilegi del processo PHP sui sistemi interessati. Al fine di supportare tali verifiche, il Centro nazionale per la sicurezza cibernetica dei Paesi Bassi ( NCSC-NL ) ha pubblicato un repository GitHub dedicato alle vulnerabilità PHP2Shell, che comprende un inventario dei prodotti che presentano dipendenze da PHP potenzialmente interessati. La raccolta, soggetta a continui aggiornamenti, riporta informazioni su produttori, prodotti, versioni, stato delle verifiche, disponibilità di correzioni e relative fonti. Si precisa che l’inventario non è esaustivo e che la presenza di un prodotto nell’elenco non ne conferma necessariamente la vulnerabilità, così come l’assenza non consente di escluderla. Le informazioni disponibili necessitano pertanto di opportuna verifica anche attraverso i bollettini di sicurezza dei rispettivi produttori.

Facendo seguito a quanto recentemente segnalato da questo CSIRT in merito alle vulnerabilità critiche note come "PHP2Shell" ( AL07/261021/CSIRT-ITA e AL01/261025/CSIRT-ITA ), si evidenzia che il vendor IceWarp ha pubblicato in data odierna un bollettino di sicurezza relativo all'impatto di tali vulnerabilità sui prodotti IceWarp Server per ambienti Windows e Linux. Poiché IceWarp Server integra nativamente l'interprete PHP, le installazioni on-premises che eseguono una versione non aggiornata di tale componente risultano esposte alle vulnerabilità tracciate tramite le CVE-2026-109618, CVE-2026-109619 e CVE-2026-115560. Tali vulnerabilità, qualora sfruttate, potrebbero consentire a un attaccante remoto non autenticato di eseguire codice arbitrario sui sistemi interessati. Il vendor ha reso noto di aver già applicato le necessarie misure correttive agli ambienti cloud gestiti direttamente e di non essere attualmente a conoscenza di attività di sfruttamento che abbiano interessato in maniera specifica i prodotti IceWarp. Tuttavia, considerata la disponibilità pubblica di Proof of Concept (PoC) e i tentativi di sfruttamento già osservati in rete a livello globale contro servizi PHP esposti, il rischio per le istanze on-premises non aggiornate rimane critico.

Dalle attività di monitoraggio condotte dal CSIRT Italia emerge il persistere di un'elevata esposizione, in ambito nazionale, di sistemi PHP potenzialmente vulnerabili alle criticità riconducibili a PHP2Shell. In particolare, secondo i dati di esposizione disponibili al 25 ottobre 2026, su 741.523 servizi PHP rilevati in Italia, 285.149 risultano utilizzare versioni potenzialmente vulnerabili , pari all' 81,9% dei servizi per i quali è stato possibile identificare la versione in uso . Tali rilevazioni evidenziano la necessità di accelerare gli interventi di aggiornamento e messa in sicurezza delle infrastrutture interessate. Si precisa che le stime, basate sulle versioni rilevate, potrebbero includere sistemi sui quali siano state applicate correzioni di sicurezza senza modifica del numero di versione. Esposizione di servizi PHP in Italia, secondo i dati forniti da Censys Come già evidenziato nell'ambito della AL07/261021/CSIRT-ITA , le vulnerabilità CVE-2026-109618 e CVE-2026-109619, entrambe di gravità critica (CVSS v4.0 pari a 9,2), potrebbero consentire a un attaccante remoto non autenticato di eseguire codice arbitrario sui sistemi interessati, con potenziali impatti sulla riservatezza, integrità e disponibilità delle risorse compromesse. Si evidenzia, inoltre, che il vendor ha recentemente segnalato un'ulteriore vulnerabilità, identificata dalla CVE-2026-115560, per la quale non risulta ancora disponibile un aggiornamento correttivo. La vulnerabilità potrebbe consentire l'esecuzione di codice da remoto in presenza di specifiche condizioni applicative e di configurazione. In particolare, lo sfruttamento richiede che il parametro session.serialize_handler , inizialmente configurato su php_binary o php_serialize , venga modificato dinamicamente a php prima dell'avvio della sessione e che la funzionalità di monitoraggio dell'avanzamento degli upload risulti abilitata. Le correzioni già distribuite per le CVE-2026-109618 e CVE-2026-109619 non risolvono la CVE-2026-115560, per la quale il vendor ha indicato una specifica misura di mitigazione, in attesa del rilascio della patch. Alla luce dell'elevata criticità delle vulnerabilità, dei recenti tentativi di sfruttamento e alla disponibilità pubblica di Proof of Concept (PoC), si richiama l'attenzione dei gestori sulla necessità di intervenire con la massima tempestività, dando priorità ai sistemi direttamente esposti su Internet.

La vulnerabilità identificata dalla CVE-2026-109618 - di tipo “Use After Free” e con score CVSS v4.0 pari a 9,2 - è dovuta a una gestione non adeguata delle condizioni di esaurimento della memoria (out-of-memory), nelle quali PHP utilizza la funzione longjmp() per interrompere l’elaborazione delle richieste. Tale comportamento può lasciare alcune strutture interne in uno stato non valido, qualora l’interruzione avvenga prima del completamento della loro inizializzazione. Un attaccante remoto non autenticato, tramite richieste opportunamente predisposte - ad esempio sfruttando la gestione delle richieste multipart - potrebbe provocare una condizione di esaurimento della memoria e determinare una corruzione della stessa, con conseguente possibilità di eseguire codice arbitrario con i privilegi del processo worker PHP sui sistemi target. La vulnerabilità identificata dalla CVE-2026-109619 - di tipo “Use After Free” e con score CVSS v4.0 pari a 9,2 - è dovuta a una gestione non adeguata dello stato globale interno di PHP che, in seguito a errori critici, timeout, condizioni di esaurimento della memoria o determinate operazioni diagnostiche, potrebbe mantenere riferimenti a memoria già liberata. Un attaccante remoto non autenticato, tramite una sequenza di richieste opportunamente predisposte e gestite dallo stesso processo worker, potrebbe provocare l’utilizzo di tali riferimenti durante l’elaborazione di richieste successive, ad esempio attraverso i meccanismi di monitoraggio dell’avanzamento degli upload di sessione o la gestione delle impostazioni di configurazione. Tra le condizioni che possono determinare la persistenza dello stato obsoleto rientra anche la generazione dei backtrace degli errori fatali in PHP 8.5. Lo sfruttamento della vulnerabilità potrebbe consentire l’esecuzione di codice arbitrario con i privilegi del processo worker PHP sui sistemi target. AGGIORNAMENTO del 23 ottobre 2026 Il vendor ha recentemente segnalato un'ulteriore vulnerabilità, identificata dalla CVE-2026-115560, che potrebbe consentire l'esecuzione di codice da remoto in presenza di determinate condizioni applicative e di configurazione. Nel dettaglio, tale vulnerabilità potrebbe essere sfruttata qualora il parametro session.serialize_handler , inizialmente configurato su php_binary o php_serialize , venga modificato a php durante l'esecuzione dell'applicazione, prima dell'avvio della sessione, e la funzionalità di monitoraggio dell'avanzamento degli upload di sessione risulti abilitata. In attesa del rilascio delle nuove correttive, si raccomanda di disabilitare tale funzionalità impostando session.upload_progress.enabled=0 . Qualora tale misura sia già stata applicata, non sono necessari ulteriori interventi per lo specifico vettore di attacco. Il vendor ha sottolineato che pubblicherà un bollettino di sicurezza specifico in occasione del prossimo rilascio.

PHP 세션 처리 과정에서 발생하는 원격 코드 실행 취약점(CVE-2026-115560) [1][2]