Il rischio di RCE in PHP resta aperto in attesa di una correzione di sicurezza ordinaria
Un rischio di RCE in PHP appena divulgato, ossia una debolezza che potrebbe consentire a un aggressore di eseguire da remoto codice su un web server, rimane privo di patch mentre il progetto PHP prepara una correzione per la prossima release ordinaria. Il problema è identificato come CVE-2026-115560, un identificatore pubblico usato per catalogare le falle di sicurezza. PHP lo ha reso noto in un advisory informativo il 23 ottobre e ha descritto il rischio pratico come improbabile, perché lo sfruttamento richiede una configurazione insolita dell'applicazione.
Il percorso vulnerabile esiste solo quando si verificano contemporaneamente diverse condizioni. Un'applicazione web deve inizialmente configurare session.serialize_handler, l'impostazione che controlla il modo in cui vengono memorizzati i dati di sessione, come php_binary oppure php_serialize. Durante l'esecuzione, l'applicazione deve quindi chiamare ini_set(), una funzione PHP che modifica un'opzione di configurazione, per impostare l'handler su php. Questa modifica deve avvenire prima di session_start(), la funzione che avvia o riprende la sessione di un visitatore.
Deve inoltre essere abilitato session upload progress. Questa funzione, attiva per impostazione predefinita, consente a un'applicazione di monitorare l'avanzamento del caricamento di un file. PHP afferma che le applicazioni che non modificano il proprio serialization handler durante l'esecuzione non sono esposte attraverso questo percorso e possono lasciare abilitato session upload progress. Il progetto ritiene improbabile che nella pratica si presenti l'intera combinazione di impostazioni necessarie.
Fino al rilascio della correzione definitiva, PHP consiglia di inserire session.upload_progress.enabled=0 nella configurazione pertinente. Questa impostazione disabilita session upload progress. PHP aveva già raccomandato la stessa mitigazione il 21 ottobre per CVE-2026-109619, quindi gli amministratori che l'hanno applicata in quella data e l'hanno mantenuta non devono apportare un'altra modifica per CVE-2026-115560.
Il nuovo rischio di RCE in PHP è distinto dalle due vulnerabilità critiche PHP2Shell corrette nell'aggiornamento di emergenza del 21 ottobre. Le falle precedenti, CVE-2026-109618 e CVE-2026-109619, consentivano a un aggressore privo di account di eseguire codice su un server. Sono state corrette in PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. L'installazione di queste release non corregge CVE-2026-115560.
PHP non ha indicato quali versioni siano interessate dal nuovo problema, quali release specifiche includeranno la correzione o quale punteggio di gravità gli verrà assegnato. Il progetto non ha inoltre dichiarato se CVE-2026-115560 e CVE-2026-109619 abbiano la stessa causa sottostante. È previsto un advisory più completo insieme alla prossima release ordinaria di bugfix, anziché tramite un altro aggiornamento di emergenza.
Non è stato segnalato alcuno sfruttamento di CVE-2026-115560. Il traffico di attacco osservato dal 21 ottobre è diretto contro le due precedenti falle PHP2Shell. Amazon ha dichiarato che i suoi honeypots, sistemi esposti deliberatamente per registrare attività ostili, hanno ricevuto il 17 ottobre, quattro giorni prima della divulgazione pubblica, un tentativo di exploit relativo a CVE-2026-109618 e CVE-2026-109619. Cloudflare ha riferito che i tentativi sono passati da decine di migliaia nei primi 45 minuti successivi alla divulgazione del 21 ottobre a milioni entro le prime ore del 22 ottobre.
Secondo Sophos e Arctic Wolf, gli aggressori hanno tentato di usare le falle precedenti per installare una Mirai botnet variant, un malware progettato per aggiungere i sistemi infetti a una rete controllata da remoto. Finora questi tentativi non hanno avuto successo. Previdian, Wordfence e altri osservatori hanno segnalato attività di scansione e probing, ossia controlli automatizzati alla ricerca di obiettivi vulnerabili, ma nessuna esecuzione di codice confermata. I ricercatori riferiscono inoltre che realizzare un exploit affidabile è stato più difficile del previsto. Questa attività non rappresenta attacchi contro CVE-2026-115560.
I proprietari di siti web dovrebbero distinguere le due azioni necessarie. Le versioni corrette del 21 ottobre risolvono CVE-2026-109618 e CVE-2026-109619, mentre la disabilitazione di session upload progress costituisce l'attuale mitigazione per il problema appena divulgato. Gli amministratori che non gestiscono PHP direttamente dovrebbero chiedere al proprio provider di hosting o allo sviluppatore dell'applicazione se il sito utilizzi la specifica configurazione runtime descritta da PHP e se sia stata applicata l'impostazione temporanea.
Per i proprietari di siti WordPress che desiderano un servizio gestito, AEU Hosting offre hosting WordPress gestito e protetto end to end. Indipendentemente dal modello di hosting, gli operatori dei siti dovrebbero mantenere attiva la mitigazione finché PHP non pubblicherà la release ordinaria contenente la correzione definitiva e finché tale release non sarà stata installata.