PHP2Shell: sono ora disponibili i pacchetti PHP aggiornati per grommunio

I pacchetti PHP aggiornati che mitigano le vulnerabilità critiche PHP2Shell sono ora disponibili sia nel repository della community grommunio che in quelli supportati. Raccomandiamo vivamente di mettere in sicurezza i propri sistemi sin da ora.

Che cos’è PHP2Shell?

PHP2Shell è il nome dato a due vulnerabilità critiche presenti nel runtime stesso di PHP, CVE-2026-109618(opens in a new tab) e CVE-2026-109619, ciascuna con un punteggio CVSS 9,2. Queste vulnerabilità possono consentire a un aggressore non autenticato di eseguire codice in remoto con una singola richiesta, prima ancora che venga eseguito qualsiasi codice dell’applicazione. Ciò significa che un server può essere esposto anche quando le applicazioni PHP su di esso sono perfettamente sicure.

• CVE-2026-109618: un’allocazione interrotta da una condizione di esaurimento della memoria può lasciare i dati della richiesta parzialmente inizializzati, e la procedura di pulizia della richiesta potrebbe quindi trattare tali dati non validi come validi.
• CVE-2026-109619: lo stato interno associato a una richiesta può sopravvivere alla memoria a cui punta, pertanto una richiesta successiva sullo stesso worker potrebbe utilizzarlo prima che venga azzerato.

Sono interessate tutte le installazioni PHP che gestiscono richieste web, incluso PHP-FPM, utilizzato da grommunio. I dettagli delle vulnerabilità sono trapelati prima della data di divulgazione coordinata e i ricercatori di sicurezza segnalano già tentativi di sfruttamento in circolazione. Il progetto PHP ha rilasciato versioni corrette (8.5.12, 8.4.27, 8.3.36 e 8.2.35) e afferma che l’aggiornamento è l’unica opzione sicura, poiché le soluzioni alternative disponibili chiudono solo alcune vie di attacco.

Ulteriori approfondimenti: Help Net Security, The Hacker News, SecurityWeek e le FAQ di watchTower.

Come effettuare l’aggiornamento

L’aggiornamento richiede solo pochi comandi:

zypper ref
zypper up
zypper in php8-opcache
systemctl restart php-fpm

Invece di zypper ref e zypper up, è possibile utilizzare anche il programma di aggiornamento web in grommunio Admin oppure eseguire grommunio-update dalla riga di comando. In entrambi i casi, riavviare php-fpm al termine dell’operazione: ciò garantisce che ogni worker esegua il binario PHP aggiornato.

I nostri test automatizzati e un gran numero di controlli di validazione manuali non hanno rivelato alcun effetto collaterale. Detto questo, in questa fase iniziale nessuno può garantire che non ce ne siano. Tutti i nostri test hanno dato esito positivo e le misure di mitigazione si sono dimostrate efficaci in tutte le nostre configurazioni di laboratorio.

Bonus: un’interfaccia web più veloce con OPcache

Da qualche tempo è anche possibile installare php8-opcache con grommunio. OPcache mantiene in memoria il codice PHP precompilato, il che rende grommunio Web notevolmente più veloce. Ecco perché il comando zypper in php8-opcache è incluso sopra. Se lo avete già installato, zypper lo salta semplicemente.

Pacchetti fuori banda, in anticipo rispetto agli aggiornamenti ufficiali di SUSE

Questi pacchetti sono aggiornamenti fuori banda che abbiamo creato e forniamo autonomamente, separatamente dai pacchetti ufficiali forniti da SUSE. Grazie alla nostra infrastruttura di compilazione e alla nostra pipeline di test, siamo riusciti a renderli disponibili prima che fossero disponibili gli aggiornamenti di manutenzione ufficiali di SUSE. Ne siamo orgogliosi e grati al nostro team per la rapidità con cui ha portato a termine il lavoro.

Non appena SUSE pubblicherà i propri pacchetti PHP corretti, rimuoveremo i nostri pacchetti provvisori dai repository grommunio in modo che i pacchetti forniti da SUSE abbiano nuovamente la precedenza. Poiché i pacchetti sul vostro sistema proverranno allora da un fornitore diverso (e potrebbero avere un numero di versione inferiore), zypper non tornerà automaticamente alla versione precedente. Quando arriverà quel momento, dovrete autorizzare esplicitamente il cambio di fornitore, ad esempio:

zypper ref
zypper up --allow-vendor-change --allow-downgrade
systemctl restart php-fpm

Annunceremo quando sarà necessario eseguire questo passaggio, insieme alle istruzioni precise.

Non utilizzi grommunio su SUSE?

Su Debian, Ubuntu e altre distribuzioni, PHP proviene dalla tua distribuzione. Installa gli aggiornamenti di sicurezza per PHP forniti dalla tua distribuzione e riavvia php-fpm al termine.

Domande?

Altre informazioni in arrivo. Le discussioni e gli ultimi aggiornamenti sono disponibili nella nostra community. I clienti con un abbonamento possono contattare direttamente l’assistenza di grommunio.