Alert GCSA-26279 - Vulnerabilita' critiche in PHP (PHP2Shell)

-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA256 ****************************************************************** alert ID: GCSA-26279 data: 21 ottobre 2026 titolo: Vulnerabilita' critiche in PHP (PHP2Shell) ****************************************************************** :: Descrizione del problema Stanno per essere rilasciate delle patch di emergenza per il linguaggio di scripting PHP. Dettagli sulle seguenti vulnerabilita' critiche CVE-2026-109618 (CVSS v4.0 score 9.2) CVE-2026-109619 (CVSS v4.0 score 9.2) sono stati divulgati online prima del rilascio delle patch ufficiali. Possono consentire l'esecuzione di codice arbitrario da remoto, senza autenticazione. Il rilascio delle patch e' stato programmato per il 21 ottobre 2026 alle ore 14:00 UTC. I dettagli completi, le versioni interessate e le versioni fixed, saranno specificati nel bollettino ufficiale. C'e' una probabilita' alta che vengano prodotti exploit in tempi molto brevi, quindi tutti gli utenti sono esortati a prepararsi per il patching immediato. Maggiori informazioni sono disponibili alla sezione "Riferimenti". :: Software interessato I dettagli tecnici relativi alle vulnerabilita' non sono ancora noti. In ogni caso PHP supporta solo le versioni 8.2 e successive https://www.php.net/supported-versions.php a meno che non vengano rilasciati backport i server basati su PHP 8.1 o precedenti non riceveranno una correzione ufficiale. :: Impatto Esecuzione remota di codice arbitrario (RCE) :: Soluzioni Sono reperibili delle mitigazioni non ufficiali, ma non forniscono una garanzia di difesa completa. Quando disponili aggiornare il software alle versioni patchate https://www.php.net/downloads.php Il CERT-EU suggerisce: "Laddove il patching immediato non sia fattibile, le organizzazioni dovrebbero prendere in considerazione l'isolamento delle applicazioni rivolte a Internet dalle reti pubbliche fino a quando non sara' disponibile una correzione." :: Riferimenti PHP.net https://www.php.net/archive/2026.php#2026-10-20-1 Drupal security advisory https://www.drupal.org/psa-2026-10-20 Huntress blog https://www.huntress.com/blog/php2shell-leaked-critical-php-vulnerabilities The Hacker News https://thehackernews.com/2026/10/php2shell-two-unpatched-critical-php.html watchTowr https://watchtowr.com/intelligence/php-cve-2026-109618-faq/ Sansec https://sansec.io/research/php2shell Mallory https://mallory.ai/blog/php-rce-rapid-response CERT-EU https://www.cert.europa.eu/publications/security-advisories/2026-018/ Mitre's CVE ID https://www.cve.org/CVERecord?id=CVE-2026-109618 https://www.cve.org/CVERecord?id=CVE-2026-109619 GARR CERT Security Alert - subscribe/unsubscribe: http://www.cert.garr.it/alert/ricevi-gli-alert-di-cert -----BEGIN PGP SIGNATURE----- iF0EAREIAB0WIQTGpdiR5MqstacBGHbBnEyTZRJgQgUCatiJogAKCRDBnEyTZRJg QgZlAKCTl6a3awnz7pRfppakVGfsGYaJ+gCcC/gY22W9ALbKl28PRXZFdYWfhjk= =5r7S -----END PGP SIGNATURE-----