La patch del server non copre tutte le app esposte
Le tre falle nei runtime PHP e Node.js espongono ogni applicazione e API che esegue una versione vulnerabile: CISA ha inserito PHP2Shell nella KEV il 26 ottobre e Node2Shell il 27. Qualys riferisce che gli attaccanti sondavano PHP2Shell già quattro giorni prima della disponibilità della patch.
Il problema è nel runtime, non nel codice delle singole applicazioni: una verifica del codice può quindi non rilevare le istanze esposte. PHP2Shell (CVE-2026-109618 e CVE-2026-109619) è corretto in PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35; Node2Shell (CVE-2026-111497) in Node.js 22.23.4, 24.22.1 e 26.12.1.
Una patch applicata al server non dimostra da sola che ogni applicazione e API sia stata coperta: il perimetro da verificare è quello delle istanze in esecuzione, comprese quelle che le verifiche sul codice non rilevano.
CVSS 9.8 CRITICAL: pHP uses longjmp() for out-of-memory (OOM) errors to exit the current context and abort handling of the request. EPSS 100% (100º percentile).
Data di correzione federale CISA 29 ott · data superata
CVSS 9.8 CRITICAL: a buffer overflow vulnerability in the Brotli decoder (c/dec/decode.c) in Google Brotli versions 1.0.3 through 1.2.0… EPSS 83% (100º percentile). Patch Microsoft: 5133964.