Vulnerabilità RCE critiche scoperte in Core PHP: CVE-2026-109618 e CVE-2026-109619

CVE-2026-109618 e CVE-2026-109619: cosa devi sapere

• Cosa sono? Due vulnerabilità critiche (punteggi CVSS v4.0 di 9,2), CVE-2026-109618 + CVE-2026-109619 scoperte in Core PHP. 

• Quali sono le ripercussioni? Se non vengono corrette, queste vulnerabilità espongono Core PHP (tutte le versioni 5-8) all’esecuzione di codice remoto (RCE).

• Cosa dovresti fare? La PHP Foundation ha corretto CVE-2026-109618 e CVE-2026-109619 in PHP 8.2 e versioni successive (in particolare le versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35). Alcune distribuzioni e alcuni fornitori di supporto a lungo termine (LTS) offrono correzioni retroportate, quindi contatta il tuo fornitore per i dettagli oppure passa a una versione supportata. Il team di sicurezza di PHP ha fornito backport minimi del codice sorgente per PHP 7.4, PHP 8.0 e PHP 8.1, per aiutare chi compila dal codice sorgente o non ha accesso a un fornitore LTS. Nel frattempo, i clienti Fastly possono attivare la regola del WAF di Fastly per ottenere una protezione temporanea.

Che cosa sono CVE-2026-109618 e CVE-2026-109619? 

Il 21 ottobre 2026 sono state pubblicate due segnalazioni CVE, CVE-2026-109618 e CVE-2026-109619, relative a vulnerabilità critiche individuate in Core PHP, una componente fondamentale del linguaggio di programmazione PHP. Entrambe le vulnerabilità hanno un punteggio CVSS v4.0 di 9,2: sono quindi vulnerabilità critiche che richiedono attenzione e interventi di mitigazione immediati.

Dettagli CVE

CVE-2026-109618 - RCE via OOM
PHP usa longjmp() in caso di errori di esaurimento della memoria (OOM) per uscire dal contesto corrente e interrompere la gestione della richiesta. Alcuni contesti potrebbero non tenere adeguatamente conto di questo scenario e lasciare la memoria della richiesta in uno stato non inizializzato. La successiva procedura di pulizia della richiesta potrebbe leggere questa memoria o eseguire diramazioni in base al suo contenuto. Diverse strategie OOM possono provocare sistematicamente questa condizione e portare all’esecuzione di codice remoto (RCE).

CVE-2026-109619 - RCE tramite errori irreversibili
PHP usa longjmp() in caso di errori irreversibili per uscire dal contesto corrente e interrompere la gestione della richiesta. Alcuni contesti potrebbero non tenere debitamente conto di questo scenario e lasciare la memoria globale in uno stato non valido, che punta a una memoria che viene liberata al termine della richiesta. Le richieste successive possono leggere questa memoria o eseguire diramazioni in base a essa. Diverse strategie possono innescare questa condizione.

Quali sono gli impatti di CVE-2026-109618 + CVE-2026-109619? 

La mancata applicazione delle patch per le due vulnerabilità lascia Core PHP vulnerabile all’esecuzione di codice remoto (RCE). Fastly invita i propri clienti e chiunque legga questo articolo ad applicare immediatamente le patch alle versioni vulnerabili, non appena disponibili. 

Cosa sta facendo Fastly al riguardo

Il team Fastly dedicato a Next-Gen WAF ha creato una serie di regole che i clienti possono attivare. Per accedere alla patch virtuale, i clienti devono attivare le regole direttamente nella dashboard del WAF. Per mitigare i rischi per le applicazioni protette da NGWAF, i clienti Fastly possono attivare il segnale relativo a entrambe le vulnerabilità, CVE-2026-109618 e CVE-2026-109619. La logica di rilevamento di questa Templated Rule, specifica per le CVE, ricerca le caratteristiche strutturali dei tentativi di sfruttamento delle vulnerabilità php2shell, come corpi e parametri delle richieste strutturati diversamente da quelli del traffico legittimo.

Questo dovrebbe offrire un certo livello di protezione in attesa di una patch ufficiale. 

In che modo Fastly può aiutarti

I clienti affidano a Fastly la resilienza dei servizi essenziali per la loro attività. Essere al tuo fianco quando emergono imprevisti come CVE-2026-109618 e CVE-2026-109619 è un elemento centrale della missione di Fastly. I nostri team sono a disposizione per supportarti con l’evolversi di queste vulnerabilità, che tu sia un cliente di lunga data della piattaforma Fastly o un nuovo cliente che necessita di protezione immediata. Contattaci per ulteriore assistenza.