Analisi tecnica delle falle critiche in php-src. Impatti di Remote Code Execution, Proof of Concept disponibili e implicazioni NIS2 per il business italiano.

Il linguaggio PHP è l'ossatura di una parte enorme del web moderno. Per un imprenditore, l'affidabilità di questo interprete non è un dettaglio tecnico, ma una variabile di continuità operativa. Recentemente, l'Agenzia per la cybersicurezza nazionale (ACN) ha emesso un alert riguardante due vulnerabilità di gravità critica che colpiscono la componente php-src, mettendo a rischio i sistemi che non aggiornano tempestivamente i propri ambienti di runtime.

PHP sembrava sicuro ma crolla

La percezione di stabilità di un software consolidato spesso maschera fragilità strutturali che emergono solo sotto stress. In questo caso, l'allarme riguarda la possibilità per un utente malintenzionato remoto e non autenticato di eseguire codice arbitrario sui sistemi target. Non si tratta di ipotesi teoriche: l'ACN ha confermato la disponibilità in rete di Proof of Concept (PoC) per entrambe le vulnerabilità. Quando una PoC diventa pubblica, il tempo di reazione per le aziende si riduce drasticamente, poiché l'attacco diventa accessibile anche a operatori con competenze medie.

L'impatto è diretto: l'attaccante può operare con i privilegi del processo worker PHP. In termini di business, ciò significa che chiunque riesca a sfruttare queste falle può potenzialmente prendere il controllo del server web, accedere ai database collegati o installare ransomware, bypassando le difese perimetrali.

Due falle critiche in php-src

Le vulnerabilità sono state catalogate con score CVSS v4.0 pari a 9,2, un valore che le colloca nella fascia più alta di pericolosità. Entrambe appartengono alla categoria Use After Free, un errore di programmazione in cui il sistema tenta di utilizzare un'area di memoria che è stata precedentemente liberata.

La prima, identificata come CVE-2026-109618, scatta quando il sistema entra in condizioni di esaurimento della memoria (out-of-memory). In questi scenari, PHP utilizza la funzione longjmp() per interrompere l'elaborazione delle richieste. Se l'interruzione avviene prima che alcune strutture interne siano state completamente inizializzate, queste rimangono in uno stato non valido. Un attaccante può provocare deliberatamente questa condizione, ad esempio manipolando le richieste multipart, per corrompere la memoria ed eseguire codice non autorizzato.

La seconda, la CVE-2026-109619, riguarda invece la gestione dello stato globale interno. In seguito a timeout, errori critici o operazioni diagnostiche, PHP potrebbe mantenere riferimenti a memoria già liberata. Attraverso una sequenza di richieste predisposte e gestite dallo stesso processo worker, l'attaccante può forzare l'utilizzo di questi riferimenti obsoleti per compromettere il sistema.

L'errore di gestione della memoria

Analizzando l'architettura del problema, emerge un pattern rischioso: l'intersezione tra gestione delle risorse hardware (RAM) e logica di esecuzione del codice. Il fatto che l'interruzione di un processo tramite longjmp() possa lasciare residui inconsistenti nella memoria indica una falla nella gestione del ciclo di vita degli oggetti interni di PHP.

Dal punto di vista strategico, questo evidenzia come le vulnerabilità più pericolose non nascano da errori di logica applicativa (il codice scritto dallo sviluppatore), ma da difetti nel runtime (l'interprete che esegue il codice). Per un'impresa, questo significa che anche un'applicazione scritta perfettamente può essere vulnerabile se l'infrastruttura sottostante non è aggiornata. L'allerta ACN sottolinea l'urgenza di sanare queste criticità per evitare l'esecuzione di shell remote.

Questa fragilità non è isolata. Se osserviamo l'ecosistema PHP, notiamo che anche framework di alto livello come Laravel hanno mostrato vulnerabilità analoghe per gravità. La CVE-2026-114509 in Laravel, con un CVSS di 9.2, permetteva il bypass dell'autenticazione a causa di una validazione inadeguata dei dati nel componente TokenGuard, specialmente in configurazioni MySQL o MariaDB.

Come funzionano le Proof of Concept

Una Proof of Concept è, essenzialmente, un manuale d'istruzioni per l'attacco. Nel caso di PHP, le PoC dimostrano come sia possibile coordinare l'invio di pacchetti specifici per saturare la memoria del server e, contemporaneamente, iniettare istruzioni che il sistema, in stato di confusione, eseguirà come privilegiate.

Il processo segue generalmente questo schema:

• Iniezione di richieste multipart pesanti per forzare l'out-of-memory.
• Sfruttamento del salto di esecuzione (longjmp) per lasciare strutture di memoria orfane.
• Invio di una seconda sequenza di richieste per sovrascrivere l'area di memoria liberata con codice malevolo.
• Esecuzione del codice con i permessi del worker PHP.

La pericolosità aumenta quando queste tecniche vengono integrate in tool automatizzati. L'analisi di ACN mostra che l'attacco non richiede autenticazione, rendendo ogni server esposto alla rete pubblica un bersaglio potenziale. Questo scenario si ricollega a un trend di attacchi a catena: l'accesso ottenuto tramite PHP può essere il primo passo per spostarsi lateralmente nella rete aziendale, colpendo altri asset come i server di posta (si pensi alle 20 vulnerabilità recentemente risolte in Roundcube Webmail) o i sistemi di gestione codice come GitLab.

La catena di fiducia tra NIS2 e AI Act

Per l'imprenditore italiano, queste vulnerabilità non sono solo problemi di IT, ma rischi di compliance legale. L'entrata in vigore della direttiva NIS2 impone obblighi rigorosi di gestione del rischio e di notifica degli incidenti per le entità essenziali e importanti. Un'azienda che ignora l'aggiornamento di un interprete PHP critico, esponendosi a una RCE, potrebbe essere considerata negligente nella gestione della sicurezza della propria catena di approvvigionamento digitale.

Esiste inoltre un legame indiretto ma forte con l'AI Act. Molte delle implementazioni di intelligenza artificiale aziendali poggiano su interfacce web e API sviluppate in PHP o framework derivati. Se l'infrastruttura che ospita l'AI è vulnerabile a livello di runtime, l'intera integrità dei dati trattati dall'algoritmo è compromessa. La fiducia nell'AI non riguarda solo l'accuratezza del modello, ma la robustezza del contenitore software.

Il mercato locale italiano, caratterizzato da una forte presenza di PMI che utilizzano soluzioni web legacy, è particolarmente esposto. La tendenza a mantenere versioni datate di PHP per evitare che il sito smetta di funzionare crea un debito tecnico che si trasforma in rischio finanziario. Un attacco riuscito può portare a sanzioni GDPR pesanti, specialmente se, come accaduto nel caso di TeamUpdraft, si verifica l'esposizione di database clienti contenenti chiavi di connessione e dati di fatturazione.

Per monitorare l'evoluzione di questo rischio, le imprese dovrebbero osservare tre indicatori verificabili:

1. Il tasso di adozione delle versioni patchate di PHP nei propri server (metrica interna di patching).
2. La pubblicazione di nuovi exploit pubblici per le CVE-2026-109618/19 su repository come GitHub (indicatore di escalation del rischio).
3. L'emissione di nuove linee guida da parte di ACN specifiche per il settore delle PMI italiane.

In sintesi, la sicurezza non è un prodotto che si acquista, ma un processo di manutenzione costante. L'incrocio tra le falle di PHP, i bypass di Laravel e le vulnerabilità di GitLab dimostra che l'intera stack tecnologica è interconnessa: un buco in un interprete può aprire la porta a tutto il resto.

Domande frequenti

---

Fonti: Acn (7) ·

glacom · Intelligenza artificiale per aziende: i modelli girano sui tuoi server, i dati non escono →