CVE-2026-109619: esecuzione di codice remoto in PHP tramite stato globale residuo

Che cos’è CVE-2026-109619?

CVE-2026-109619 è la seconda vulnerabilità PHP2Shell; il titolo ufficiale di PHP è “RCE via stale global state”, cioè esecuzione di codice remoto tramite stato globale residuo. I worker PHP gestiscono molte richieste una dopo l’altra. Quando una richiesta finisce, la sua memoria viene liberata, ma una parte dello stato globale poteva continuare a puntarvi. Una richiesta successiva che usa quel riferimento scaduto accede a memoria già liberata, e un attaccante può trasformarlo in esecuzione di codice.

L’advisory di GitHub classifica CVE-2026-109619 come Critical, punteggio CVSS 4.0 di 9.2, vettore CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N: sfruttabile via rete, senza login e senza interazione dell’utente, anche se la complessità dell’attacco è valutata alta e servono determinate condizioni.

Quali versioni di PHP sono colpite da CVE-2026-109619?

Sono colpiti tutti i rami supportati sotto la rispettiva versione corretta, e anche i rami a fine vita. PHP 8.1 e precedenti non ricevono nuove release; PHP ha pubblicato patch minime sul sorgente solo per 7.4, 8.0 e 8.1 (vedi PHP end of life).

I pacchetti delle distribuzioni hanno versioni corrette proprie. La tabella qui sotto elenca anche immagini, pannelli e hosting il cui stato non abbiamo ancora verificato:

Come si corregge CVE-2026-109619?

Aggiorna PHP alla versione corretta del tuo ramo, o al pacchetto patchato della tua distribuzione, poi riavvia tutti i worker PHP, così che nessun processo resti con il codice vecchio. L’advisory di GitHub è chiaro: aggiornare a una release che contiene la patch completa di reset dello stato è l’unica mitigazione affidabile. La guida alla patch PHP2Shell copre ogni tipo di configurazione.

Posso mitigare CVE-2026-109619 senza aggiornare?

Solo in parte. PHP indica due impostazioni amministrative, ciascuna seguita dal riavvio di tutti i worker:

• session.upload_progress.enabled=0, impostata in php.ini, nel pool FPM o nella configurazione del server (non con ini_set() né con il .user.ini di FPM). Blocca i percorsi confermati tramite le sessioni, ma non altre varianti.
• Solo su PHP 8.5, fatal_error_backtraces=0. Blocca soltanto il percorso confermato tramite i backtrace degli errori fatali.

PHP dichiara che non esiste una mitigazione generica completa via configurazione. Tutte le misure temporanee e i loro effetti collaterali sono nella pagina sul workaround per CVE-2026-109618.

Perché i worker PHP contano per CVE-2026-109619?

La falla riguarda i processi worker PHP di lunga durata, che servono una richiesta dopo l’altra. Per questo sia l’aggiornamento sia le misure temporanee richiedono il riavvio di tutti i worker: pool PHP-FPM, Apache con mod_php o il processo PHP del tuo server. Un worker che resta in esecuzione dopo l’aggiornamento ha ancora in memoria il codice vecchio. Sull’hosting condiviso il riavvio spetta al provider: chiedigli di confermarlo.

Quali configurazioni sono esposte a CVE-2026-109619?

L’advisory di PHP riguarda tutte le installazioni PHP che servono richieste web, tra cui PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed, e indica mod_php come la più a rischio. Usare Nginx o PHP-FPM non è un’esenzione. L’uso solo da riga di comando non rientra nell’avviso, ma aggiorna comunque anche quel binario.

Un plugin di manutenzione ferma CVE-2026-109619?

Meglio non contarci. Una pagina di manutenzione di WordPress passa comunque per la gestione delle richieste di PHP, e alcuni percorsi d’attacco avvengono prima che il codice dell’applicazione venga eseguito. Se non puoi aggiornare, blocca il traffico prima di PHP (a livello di web server o di hosting) oppure metti il sito offline.

CVE-2026-109619 è già sfruttata attivamente?

Sono stati segnalati tentativi di attacco, ma nessuna compromissione riuscita è stata confermata. Cloudflare ha rilevato traffico d’attacco PHP2Shell contro i propri clienti ancora prima che uscisse la correzione. Nessuna delle fonti che abbiamo controllato al 22 ottobre 2026 conferma un’intrusione andata a segno. Considera esposto qualsiasi PHP non aggiornato raggiungibile dal web e aggiornalo.

Come verifico se il mio sito è colpito da CVE-2026-109619?

Inserisci la versione di PHP e la configurazione del tuo sito nel PHP version checker, oppure parti dalla panoramica del verificatore PHP2Shell. La falla gemella è CVE-2026-109618.

Quali fonti sostengono questa pagina?

• Advisory GitHub GHSA-6wmf-4rv5-p3rp
• The PHP Group: advisory di sicurezza
• Wiz Research: ricerca originale
• Canonical: pagina CVE di Ubuntu
• Cloudflare: protezioni WAF