Le vulnerabilità, tracciate come CVE-2026-109618 e CVE-2026-109619, potrebbero consentire agli aggressori di eseguire in remoto codice dannoso su server vulnerabili senza autenticazione. Il team di sicurezza PHP ha rilasciato aggiornamenti il 21 ottobre 2026 alle 13:40 UTC. I dettagli tecnici completi di questi aggiornamenti, nonché le versioni interessate e fisse accompagnano il rilascio.
Gli avvisi di sicurezza PHP sono disponibili all'indirizzo: https://www.php.net/archive/2026.php
Le organizzazioni dovrebbero identificare le loro applicazioni basate su PHP, coordinarsi con i fornitori di hosting e servizi e applicare gli aggiornamenti di sicurezza rilasciati. Dare priorità ai sistemi che si affacciano su Internet. Laddove la bonifica immediata non sia fattibile, prendere in considerazione l'isolamento delle applicazioni esposte dalle reti pubbliche fino a quando le correzioni non possono essere applicate.
Molti prodotti commerciali e open source si basano su PHP in background. Di conseguenza, alcuni potrebbero essere influenzati da queste vulnerabilità anche se non sembrano utilizzare direttamente PHP. Si consiglia di controllare il repository GitHub NCSC-NL per informazioni su software di terze parti che include PHP e potrebbe essere interessato: https://github.com/NCSC-NL/php2shell
Gli ultimi avvisi pubblicati dai membri della rete dei CSIRT sono reperibili nei rispettivi canali di comunicazione ufficiali. Le organizzazioni possono anche fare riferimento agli orientamenti forniti dal CERT-UE. L'ENISA gestisce una raccolta di consulenza all'indirizzo: https://github.com/enisaeu/CNW/blob/main/advisories/2026/CNW-2026-04_php.md
L'ENISA e tutti i pertinenti attori dell'UE continueranno a monitorare tale minaccia per contribuire alla conoscenza situazionale generale a livello dell'Unione.
Politica dell'UE
Le organizzazioni dovrebbero inoltre essere consapevoli del fatto che, a decorrere dall'11 settembre 2026, i fabbricanti di prodotti hardware e software devono segnalare le vulnerabilità attivamente sfruttate attraverso la piattaforma unica di segnalazione delle agenzie di rating del credito, conformemente al regolamento (UE) 2024/2847 (regolamento sulla ciberresilienza). Maggiori informazioni sono disponibili all'indirizzo: https://digital-strategy.ec.europa.eu/en/policies/cra-reporting e https://www.enisa.europa.eu/topics/product-security/vulnerability-services/eu-incident-response-and-cyber-crisis-management/single-reporting-platform-srp
I principali requisiti di cibersicurezza del regolamento sulla ciberresilienza si applicheranno a decorrere dall'11 dicembre 2027. Ciò richiederà ai fabbricanti di prodotti hardware e software ("prodotti con elementi digitali") di attuare la sicurezza fin dalla progettazione e garantire il sostegno alla sicurezza durante il ciclo di vita di tali prodotti, compresa la riparazione immediata delle vulnerabilità.
Last update
22 Ottobre 2026