Alert GCSA-26279 - Vulnerabilita' critiche in PHP (PHP2Shell)

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA256

******************************************************************

   alert ID: GCSA-26279
       data: 21 ottobre 2026
     titolo: Vulnerabilita' critiche in PHP (PHP2Shell)

******************************************************************

:: Descrizione del problema

   Stanno per essere rilasciate delle patch di emergenza per il linguaggio di scripting PHP.
   Dettagli sulle seguenti vulnerabilita' critiche

   CVE-2026-109618 (CVSS v4.0 score 9.2)
   CVE-2026-109619 (CVSS v4.0 score 9.2)

   sono stati divulgati online prima del rilascio delle patch ufficiali.
   Possono consentire l'esecuzione di codice arbitrario da remoto, senza autenticazione.

   Il rilascio delle patch e' stato programmato per il 21 ottobre 2026 alle ore 14:00 UTC.
   I dettagli completi, le versioni interessate e le versioni fixed, saranno specificati nel bollettino ufficiale.
   C'e' una probabilita' alta che vengano prodotti exploit in tempi molto brevi,
   quindi tutti gli utenti sono esortati a prepararsi per il patching immediato.

   Maggiori informazioni sono disponibili alla sezione "Riferimenti".


:: Software interessato

   I dettagli tecnici relativi alle vulnerabilita' non sono ancora noti.
   In ogni caso PHP supporta solo le versioni 8.2 e successive
   https://www.php.net/supported-versions.php
   a meno che non vengano rilasciati backport i server basati su PHP 8.1 o precedenti
   non riceveranno una correzione ufficiale.


:: Impatto

   Esecuzione remota di codice arbitrario (RCE)


:: Soluzioni

   Sono reperibili delle mitigazioni non ufficiali, ma non forniscono
   una garanzia di difesa completa.

   Quando disponili aggiornare il software alle versioni patchate
   https://www.php.net/downloads.php

   Il CERT-EU suggerisce:
   "Laddove il patching immediato non sia fattibile, le organizzazioni dovrebbero prendere in considerazione
   l'isolamento delle applicazioni rivolte a Internet dalle reti pubbliche fino a quando non sara' disponibile
   una correzione."


:: Riferimenti

   PHP.net
   https://www.php.net/archive/2026.php#2026-10-20-1

   Drupal security advisory
   https://www.drupal.org/psa-2026-10-20

   Huntress blog
   https://www.huntress.com/blog/php2shell-leaked-critical-php-vulnerabilities

   The Hacker News
   https://thehackernews.com/2026/10/php2shell-two-unpatched-critical-php.html

   watchTowr
   https://watchtowr.com/intelligence/php-cve-2026-109618-faq/

   Sansec
   https://sansec.io/research/php2shell

   Mallory
   https://mallory.ai/blog/php-rce-rapid-response

   CERT-EU
   https://www.cert.europa.eu/publications/security-advisories/2026-018/

   Mitre's CVE ID
   https://www.cve.org/CVERecord?id=CVE-2026-109618
   https://www.cve.org/CVERecord?id=CVE-2026-109619


GARR CERT Security Alert -  subscribe/unsubscribe:
http://www.cert.garr.it/alert/ricevi-gli-alert-di-cert

-----BEGIN PGP SIGNATURE-----

iF0EAREIAB0WIQTGpdiR5MqstacBGHbBnEyTZRJgQgUCatiJogAKCRDBnEyTZRJg
QgZlAKCTl6a3awnz7pRfppakVGfsGYaJ+gCcC/gY22W9ALbKl28PRXZFdYWfhjk=
=5r7S
-----END PGP SIGNATURE-----