Il progetto PHP e Wiz Research hanno reso noti due vulnerabilità critiche nel runtime del linguaggio, identificate come CVE-2026-109618 e CVE-2026-109619. Secondo la pagina pubblicata da Google Cloud, entrambe hanno ricevuto un punteggio CVSS di 9.2, il livello più alto di gravità, e possono esporre le applicazioni a esecuzione di codice da remoto senza autenticazione e a divulgazione di memoria. La notizia riguarda da vicino chiunque gestisca siti, CMS o applicazioni web scritti in PHP, cioè una parte molto ampia del web.
Le due vulnerabilità, in sintesi
La descrizione tecnica fornita dalla fonte chiarisce il meccanismo di fondo:
- CVE-2026-109618: una gestione errata dell’esaurimento di memoria può interrompere PHP mentre i dati interni della richiesta sono inizializzati solo in parte; la fase di pulizia della richiesta può quindi trattare come validi dati che non lo sono.
- CVE-2026-109619: uno stato interno legato a una richiesta può sopravvivere dopo che la memoria che lo sosteneva è stata liberata; una richiesta successiva gestita dallo stesso worker può usare quello stato obsoleto prima che l’inizializzazione normale lo azzeri.
In termini pratici, si tratta di problemi nel cuore del linguaggio, non in un singolo componente o libreria: per questo la portata è potenzialmente molto ampia.
Quali versioni sono coinvolte
Secondo la fonte, sono esposte tutte le versioni di PHP dalla 5.4 fino alla 8.5.11. Un elemento importante riguarda le versioni più vecchie: il progetto PHP non rilascerà correzioni per PHP 8.1 o precedenti, che hanno raggiunto la fine del ciclo di vita. Chi utilizza queste versioni non può quindi contare su una patch ufficiale e deve pianificare un aggiornamento a una versione supportata.
Cosa fare: aggiornare e ridistribuire
L’indicazione riportata da Google Cloud è di aggiornare immediatamente a PHP 8.2 o successivo e ridistribuire i servizi con una versione corretta. Le modalità cambiano in base all’ambiente di esecuzione:
- App Engine standard: i runtime supportati vengono aggiornati automaticamente; chi usa PHP 8.1 o precedenti deve passare a PHP 8.2 o successivo e ridistribuire.
- App Engine flexible: è necessario ridistribuire con un runtime supportato; con un runtime personalizzato occorre aggiornare le dipendenze PHP e ridistribuire.
- Cloud Run: se gli aggiornamenti automatici delle immagini di base non sono attivi, o se si usa un’immagine container propria, bisogna ricostruire con una versione di PHP corretta e ridistribuire.
- Google Kubernetes Engine: aggiornare le immagini dei container e ridistribuire i pod.
- Google Cloud Marketplace: per soluzioni che includono PHP, come CMS o stack LAMP, applicare l’aggiornamento fornito dal fornitore della soluzione oppure aggiornare PHP direttamente.
La fonte segnala inoltre che Google Cloud sta distribuendo immagini di base serverless aggiornate per le versioni PHP supportate su diversi servizi, con comportamenti diversi a seconda che gli aggiornamenti automatici siano attivi o meno.
Il ruolo dell’AI nella scoperta
Un aspetto rilevante per chi segue il settore è il metodo con cui le falle sono state individuate. Wiz Research ha utilizzato una combinazione di modelli per identificare e contribuire a correggere le vulnerabilità; in particolare, secondo la fonte, il modello Gemini 4 Argon ha dato un contributo significativo nella ricerca della vulnerabilità, nello sviluppo dell’exploit, nel rilevamento degli attacchi e nella validazione della patch. L’estratto della newsletter menziona anche l’uso di modelli OpenAI da parte di una società di sicurezza, ma questi dettagli non trovano conferma nella pagina della fonte e vanno considerati con cautela.
Cosa resta da verificare
La fonte conferma la gravità, le versioni coinvolte e le indicazioni di remediation, ma non offre elementi per valutare quante installazioni siano effettivamente esposte né quali conseguenze concrete si siano già verificate. L’estratto accenna a siti istituzionali rimossi in Paesi come Paesi Bassi, Finlandia e Francia, ma si tratta di un’informazione riportata in forma sintetica e non dettagliata nella pagina consultata. Per un quadro completo è utile seguire l’avviso ufficiale del progetto PHP e la descrizione pubblicata da Wiz Research, citati come riferimenti dalla fonte.
Per chi sviluppa o mantiene applicazioni PHP, la priorità è comunque chiara: verificare la versione in uso, aggiornare dove possibile e ridistribuire i servizi. La fonte originale è disponibile sul sito di AI Secret.
