Vulnerabilità php2shell (CVE-2026-109618, CVE-2026-109619)

Informazioni operative ultima modifica significativa: 21 ottobre 2026 17:25 CEST Ultimo aggiornamento dello stato dell'elenco software: 22 ottobre 2026 17:23 CEST TLP:CLEAR

Questo repository contiene informazioni operative riguardanti le vulnerabilità critiche di PHP tracciate da CERT-EU come CVE-2026-109618 e CVE-2026-109619.

PHP è un linguaggio di scripting lato server open-source ampiamente utilizzato, pertanto queste vulnerabilità possono interessare un'ampia gamma di applicazioni web e prodotti esposti su Internet che incorporano o dipendono da PHP.

Stato attuale

Il 21 ottobre 2026, PHP ha pubblicato le versioni corrette per CVE-2026-109618 e CVE-2026-109619: PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. PHP afferma che entrambe le vulnerabilità possono consentire l'esecuzione di codice in remoto non autenticata e che tutte le installazioni PHP che servono richieste web sono a rischio, incluse PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed. PHP ritiene che il rischio sia più elevato per mod_php, dove una richiesta non autenticata può innescare lo sfruttamento prima che venga eseguito il codice dell'applicazione.

PHP descrive CVE-2026-109618 come esecuzione di codice in remoto tramite corruzione da esaurimento memoria durante la pulizia della richiesta, e CVE-2026-109619 come esecuzione di codice in remoto tramite stato globale obsoleto di proprietà della richiesta riutilizzato da una richiesta successiva sullo stesso worker. PHP 8.1 e versioni precedenti non sono più supportate dal progetto PHP; le distribuzioni e i fornitori LTS possono fornire pacchetti backportati, e PHP ha pubblicato backport minimi del codice sorgente per PHP 7.4, 8.0 e 8.1.

L'impatto non è limitato ai siti web: PHP è incorporato anche in appliance, dispositivi di rete, interfacce di gestione e altri prodotti di fornitori in cui gli amministratori potrebbero non essere in grado di aggiornare PHP direttamente.

Azioni raccomandate

Identificare le applicazioni basate su PHP e le relative versioni di runtime, con priorità ai sistemi esposti su Internet e alle SAPI che servono il web.
Aggiornare a PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35, oppure applicare i pacchetti backportati forniti dal fornitore.
Verificare separatamente le immagini di terze parti, le appliance e i runtime incorporati; per i prodotti che includono PHP, applicare gli aggiornamenti del fornitore non appena disponibili.
Se non è possibile applicare immediatamente la patch, seguire le mitigazioni temporanee di PHP, tra cui la disabilitazione di session.upload_progress, il riavvio dei worker e la revisione delle indicazioni ufficiali su memory_limit, post_max_size e fatal_error_backtraces di PHP 8.5. PHP afferma che queste misure non costituiscono correzioni complete.
Monitorare gli avvisi dei fornitori, i log esposti su Internet e l'attività pubblica di sfruttamento.

Per ulteriori informazioni vedere:

Contenuto del repository

Directory	Scopo
detection_mitigation	Contiene materiale di rilevamento e mitigazione per le vulnerabilità.
software	Contiene elenchi di inventario di prodotti software con una dipendenza da PHP potenzialmente interessati dalle vulnerabilità.
tools	Contiene strumenti per utilizzare/generare file all'interno di questo repository

Si prega di notare che questo repository non è completo ed è attualmente in fase di espansione.

Ultimi aggiornamenti sullo stato del software

Data e ora	Fornitore	Prodotto	Stato CVE-2026-109618	Stato CVE-2026-109619	Note	Link
2026-10-22 17:23:16 +0200	Fortinet	FortiADC Manager	In esame	In esame	Valutazione CVE: Fortinet PSIRT FG-IR-26-186 elenca il prodotto come in esame; versioni interessate/corrette non ancora pubblicate L'avviso Fortinet PSIRT FG-IR-26-186 elenca FortiADC Manager come in esame per CVE-2026-109618 e CVE-2026-109619.	source
2026-10-22 17:23:16 +0200	Fortinet	FortiClient Cloud Services	In esame	In esame	Valutazione CVE: Fortinet PSIRT FG-IR-26-186 elenca il prodotto come in esame; versioni interessate/corrette non ancora pubblicate L'avviso Fortinet PSIRT FG-IR-26-186 elenca FortiClient Cloud Services come in esame per CVE-2026-109618 e CVE-2026-109619.	source
2026-10-22 17:23:16 +0200	Fortinet	FortiDDoS	In esame	In esame	Valutazione CVE: Fortinet PSIRT FG-IR-26-186 elenca il prodotto come in esame; versioni interessate/corrette non ancora pubblicate L'avviso Fortinet PSIRT FG-IR-26-186 elenca FortiDDoS come in esame per CVE-2026-109618 e CVE-2026-109619.	source
2026-10-22 17:23:16 +0200	Fortinet	FortiDDoS-F	In esame	In esame	Valutazione CVE: Fortinet PSIRT FG-IR-26-186 elenca il prodotto come in esame; versioni interessate/corrette non ancora pubblicate L'avviso Fortinet PSIRT FG-IR-26-186 elenca FortiDDoS-F come in esame per CVE-2026-109618 e CVE-2026-109619.	source
2026-10-22 17:23:16 +0200	Fortinet	FortiEndpoint	In esame	In esame	Valutazione CVE: Fortinet PSIRT FG-IR-26-186 elenca il prodotto come in esame; versioni interessate/corrette non ancora pubblicate L'avviso Fortinet PSIRT FG-IR-26-186 elenca FortiEndpoint come in esame per CVE-2026-109618 e CVE-2026-109619.	source

Consulta la cronologia completa degli aggiornamenti sullo stato del software.

Contributi benvenuti

Se hai ulteriori informazioni da condividere relative a queste vulnerabilità PHP, sentiti libero di aprire una Pull request. Sei nuovo a questo? Leggi come contribuire nella documentazione di GitHub.

Per gli aggiornamenti all'elenco dei software: preferiamo fortemente ricevere modifiche nei file sorgente SPDX in software/spdx/. Le pagine dell'elenco Markdown sono generate automaticamente da quei file. Nel caso questo risulti troppo difficile: non preoccuparti. Tenteremo di riportare le modifiche nei file .md ai file sorgente SPDX, ma senza alcuna garanzia.

php2shell