Sicurezza · 27 ottobre 2026
Pubblicato anche in हिन्दी, Deutsch, Español, Nederlands, Svenska
Nuova vulnerabilità PHP senza patch immediata espone al rischio di esecuzione remota di codice
Una nuova vulnerabilità critica nel linguaggio di programmazione PHP, identificata con il codice CVE-2026-115560, è stata rilevata senza che sia attualmente disponibile una correzione software ufficiale. Questo difetto di sicurezza presenta un rischio teorico di esecuzione remota di codice, sebbene richieda configurazioni di sistema molto specifiche e insolite per essere sfruttato con successo dagli aggressori.
Il team di sviluppo di PHP ha confermato attraverso un comunicato ufficiale rilasciato il ventitré ottobre duemilaventisei che la falla risiede nel meccanismo di sessione utilizzato per monitorare l'avanzamento dei caricamenti di file. Nonostante la gravità potenziale associata all'esecuzione di codice arbitrario su un server, gli esperti hanno stabilito che l'exploit necessita di una combinazione rara di impostazioni per attivarsi, rendendo l'impatto reale limitato a un sottoinsieme ristretto di applicazioni web.
A causa della natura complessa e poco comune dei prerequisiti necessari per l'attacco, gli sviluppatori hanno deciso di non rilasciare un aggiornamento di emergenza immediato. La risoluzione del problema è invece pianificata per essere inclusa nel prossimo ciclo regolare di rilascio delle correzioni di bug. Questa strategia differisce dall'approccio adottato recentemente per altre due vulnerabilità distinte, per le quali erano state pubblicate versioni correttive urgenti pochi giorni prima della scoperta di questo nuovo errore.
Perché la vulnerabilità possa essere sfruttata, devono verificarsi simultaneamente diverse condizioni tecniche precise all'interno dell'ambiente server. La configurazione iniziale deve impostare il gestore di serializzazione delle sessioni su un valore specifico, che viene successivamente modificato dinamicamente durante l'esecuzione dello script prima dell'avvio della sessione. Inoltre, la funzionalità nativa che traccia i progressi del caricamento dei file deve essere attivamente abilitata nelle impostazioni del server, una condizione che non è presente in tutte le installazioni standard.
In attesa della patch definitiva, la misura di mitigazione raccomandata consiste nel disabilitare completamente la funzione di monitoraggio dell'avanzamento del caricamento file modificando il file di configurazione principale. Questa azione elimina il vettore di attacco impedendo l'uso del meccanismo di sessione vulnerabile, sebbene rimuova anche la capacità nativa di monitorare visivamente lo stato dei trasferimenti di file in corso per le applicazioni che ne fanno affidamento.
Fornitori di servizi di sicurezza esterni hanno aggiornato le proprie regole di protezione per bloccare i tentativi di sfruttamento noti contro questa falla. Tuttavia, tale protezione rimane efficace principalmente per le applicazioni che utilizzano i nomi predefiniti per i campi di avanzamento del caricamento. Finora non sono stati riportati casi confermati di attacchi riusciti che abbiano sfruttato questa specifica vulnerabilità in ambienti di produzione reali, né esistono prove di malware attivi che la utilizzino attualmente.
La scoperta segue due precedenti incidenti di sicurezza gravi che avevano permesso l'esecuzione di codice senza autenticazione, i quali avevano portato alla distribuzione rapida di diverse nuove versioni del linguaggio. Quegli eventi precedenti avevano già attirato l'attenzione di gruppi malevoli interessati all'installazione di reti di bot dannose, ma le indagini successive non hanno confermato il successo di tali tentativi di intrusione su larga scala prima dell'applicazione delle correzioni precedenti.