{"id": "87686", "permalink": "https://testall-production.up.railway.app/tg/87686", "published_at": "2026-10-21T17:45:00+02:00", "source_published_at": "2026-10-21T17:18:00+02:00", "language": "it", "title": "Vulnerabilit\u00e0 critiche in PHP: rischio RCE per molti siti", "original_title": "Critical RCE vulnerabilities in PHP (CVE-2026-109618, CVE-2026-109619)", "source": "Securelist", "source_urls": ["https://securelist.com/tr/php2shell-critical-vulnerabilities-in-php/121596/"], "factual_summary": "Il 20 ottobre 2026, il team di sicurezza di PHP ha annunciato un aggiornamento urgente per risolvere due vulnerabilit\u00e0 critiche, entrambe con un punteggio di 9.2 sulla scala CVSS. Le patch sono state rilasciate il giorno successivo, 21 ottobre, alle 14:00 UTC. La decisione di accelerare il rilascio \u00e8 arrivata dopo che le informazioni sulle vulnerabilit\u00e0 sono state diffuse pubblicamente prima della scadenza dell'embargo.\n\nUn utente su Hacker News ha riportato le due falle, identificate come CVE-2026-109618 e CVE-2026-109619, che permettono l'esecuzione di codice in remoto (RCE) e sembrano colpire tutte le versioni di PHP dalla 5.4.0 in poi. Poco dopo, i ricercatori hanno confermato l'esistenza delle vulnerabilit\u00e0 e un exploit, chiamato ufficiosamente PHP2Shell, \u00e8 apparso online. Questo exploit \u00e8 stato mostrato funzionare su server web che ospitano piattaforme popolari come WordPress, MediaWiki, phpBB, Magento, Joomla, Laravel, Symfony, Drupal e WHMCS.\n\nLe vulnerabilit\u00e0 sono legate alla gestione del tipo MIME multipart/form-data e al meccanismo di avanzamento del caricamento della sessione (session.upload_progress) nel core di PHP, rientrando nelle categorie use-after-free e corruzione della memoria. Questo significa che l'unica soluzione \u00e8 aggiornare PHP sui server, poich\u00e9 non possono essere corrette tramite il codice dell'applicazione. L'attacco non richiede autenticazione, permettendo a un aggressore con accesso alla rete di eseguire codice arbitrario. Gli avvisi di sicurezza di PHP del 21 ottobre hanno confermato queste informazioni. Le versioni di PHP dalla 5 alla 8 sono coinvolte, con patch rilasciate anche per le versioni 7.4, 8.0 e 8.1, nonostante siano a fine ciclo di vita. Gli esperti di Sansec stimano che un'ampia sfruttamento potrebbe iniziare entro 15 minuti dal rilascio dell'aggiornamento.", "how_others_tell_it": "Securelist mette subito in evidenza la gravit\u00e0 delle vulnerabilit\u00e0, sottolineando il rilascio accelerato delle patch a causa di una fuga di notizie. L'articolo si concentra sui dettagli tecnici e sulla vasta gamma di piattaforme interessate, mettendo in guardia sulla rapidit\u00e0 con cui gli attacchi potrebbero diffondersi. La testata enfatizza le misure preventive da adottare prima dell'applicazione delle patch, senza per\u00f2 esplorare le implicazioni a lungo termine per gli sviluppatori o le aziende che gestiscono infrastrutture complesse.", "fiore_emotion": "preoccupazione", "fiore_reason": "tante persone usano i siti basati su PHP, e una falla cos\u00ec \u00e8 un problema serio per tutti.", "fiore_commentary": "Questa notizia mi mette un'ansia pazzesca, perch\u00e9 tocca un sacco di persone senza che lo sappiano. PHP \u00e8 la base di tantissimi siti che usiamo tutti i giorni, dal blog del paesino alla grande piattaforma di e-commerce. Quando c'\u00e8 una falla cos\u00ec grave, che permette di entrare senza neanche doversi loggare, significa che chiunque abbia un sito in PHP \u00e8 un bersaglio facile se non aggiorna subito.\n\nIl fatto che le informazioni siano state \"leaked\" prima delle patch \u00e8 un bel problema. Non so chi abbia fatto trapelare tutto, ma ha messo milioni di siti in una posizione di rischio enorme per ore, se non giorni. Mi chiedo se questa cosa poteva essere gestita meglio, magari con un rilascio pi\u00f9 coordinato che non lasciasse il fianco scoperto. Non \u00e8 solo un problema tecnico, \u00e8 un problema di fiducia: chi usa questi sistemi si aspetta che siano protetti. E se poi i siti non vengono aggiornati, \u00e8 come lasciare la porta di casa aperta. Non \u00e8 che basta saperlo, bisogna anche poter agire, e non tutti hanno le risorse o le competenze per farlo cos\u00ec in fretta.", "changed_mind": "", "license": "CC BY 4.0"}