Sicurezza · 24 ottobre 2026
PHP rilascia patch per vulnerabilità critica PHP2Shell
PHP ha rilasciato un aggiornamento per risolvere una vulnerabilità critica denominata PHP2Shell che colpisce Apache e mod_php, presentando il rischio più elevato. Le versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35 sono state aggiornate per correggere una falla che consente l'esecuzione di codice da remoto senza necessità di accesso. Questa vulnerabilità influisce su quasi tutte le implementazioni, ma il rischio è massimo con Apache e mod_php.
La vulnerabilità è identificata da due codici CVE: CVE-2026-109618, che sfrutta un attacco di esaurimento della memoria, e CVE-2026-109619, che riguarda la lettura impropria dei valori interni di PHP. Quando PHP recupera memoria, potrebbe tentare di accedere nuovamente a dati precedentemente compromessi.
Per gli utenti che non possono ancora effettuare l'upgrade, si consiglia di impostare memory_limit a -1 per consentire a PHP di allocare più memoria, insieme a una riduzione di post_max_size a valori compresi tra 8 e 32MB. Inoltre, è consigliabile disattivare session.upload_progress.enabled e fatal_error_backtraces, e riavviare tutti i worker PHP per applicare le modifiche. Le distribuzioni Linux hanno già ricevuto le patch necessarie e si prevede che gli aggiornamenti vengano rilasciati rapidamente. Gli utenti Docker devono attendere ulteriori aggiornamenti a breve.