Vulnerabilità ed exploit

I dubbi sui PoC cedono agli attacchi reali contro PHP

BleepingComputer riferisce che le due vulnerabilità RCE critiche di PHP, CVE-2026-109618 e CVE-2026-109619, sono sfruttate con successo in attacchi reali. Per i servizi esposti, il caso passa dai dubbi sulla fattibilità dei PoC alla gestione di possibili compromissioni.

Le falle sfruttano il modo in cui PHP gestisce l'esaurimento della memoria e i dati delle richieste per arrivare a RCE sul server. Il resoconto non descrive i passaggi visibili all'attaccante, quindi non è possibile precisare la tecnica oltre questo livello.

I PoC precedenti dipendevano da condizioni considerate insolite, tra cui un limite di memoria di 8 MB; questo non dimostra che configurazioni comuni da 128 MB siano al sicuro. Il materiale disponibile non identifica versioni o configurazioni coinvolte né indica una correzione: l'esposizione dei singoli servizi PHP resta quindi da delimitare.

2 fonti · 5 ore fa

Cronologia

• 26 ott Segnalato da BleepingComputer
• 23 ott Segnalato da SANS ISC

Fonti

• 26 ott BleepingComputer

  PHP2Shell security flaws now sucessfully exploited in the wild

  Two critical RCE vulnerabilities (CVE-2026-109618 and CVE-2026-109619), collectively tracked as PHP2Shell, have been successfully exploited in the wild.

  originale

• 23 ott SANS ISC

  (Reliable)? php2shell exploitability - SANS ISC

  php2shell exploitability, Author: Bojan Zdrnja

  originale

Part of the PlainSec briefing for 2026-10-26

Every edition of this story: I dubbi sui PoC cedono agli attacchi reali contro PHP

Altro da oggi

• Una build ufficiale di Node.js cede al Brotli, ma non sempre
• Il rischio delle regex Ruby supera i confini di GitLab
• La RCE di PHP richiede una configurazione di sessione rara