{

“title”: “PHP sotto attacco: Quando la memoria decide di fare il rebel senza motivo”,
“excerpt”: “Due nuove vulnerabilità critiche permettono l’esecuzione di codice remoto su PHP. Ecco come il team di sicurezza sta cercando di tenere in piedi il web senza impazzire.”,
“content”: “Se pensavate che il vostro server fosse al sicuro finché non avreste rimosso il firewall, preparatevi a un piccolo shock termico. Il team di PHP ha appena rilasciato una serie di patch urgenti (versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35) per chiudere due buchi di sicurezza che sono, in parole povere, un incubo per chiunque gestisca un’istanza pubblica.nnParliamo di due vulnerabilità di tipo RCE (Remote Code Execution). Tradotto per chi non vive in una cella di isolamento digitale: un attaccante non autenticato potrebbe teoricamente eseguire codice sul vostro server. Il colpevole? Un mix letale di gestione della memoria e gestione degli errori che farebbe invidia a un cattivo di una serie cyberpunk.nnIl primo bug, CVE-2026-109618, è una chicca di sadismo tecnico: un errore di corruzione legato all’Out-of-Memory (OOM). Se una richiesta colpisce il limite di memoria proprio nel momento sbagliato, PHP lascia dei dati parzialmente inizializzati che vengono poi trattati come validi. Il secondo, CVE-2026-109619, sfrutta uno ‘stale state’ dove un errore fatale lascia puntatori a memoria che appartengono a una richiesta precedente. Un classico ‘use-after-free’ che trasforma il vostro interprete in un passacarte per exploit.nnLa cosa interessante (e un po’ tragica) è il dietro le quinte. Il team della PHP Foundation non è rimasto a guardare il monitor con le braccia incrociate. Hanno iniziato ad usare strumenti di AI avanzati, come Claude Mythos e Daybreak Red, per scansionare il codice e validare i report. Ma non è tutto rose e fiori: la gestione della disclosure è stata un caos totale. nnCi sono stati leak sui social, video di PoC (Proof of Concept) che circolavano prima del tempo e, per non parlare di alcuni distributori che hanno deciso di pubblicare le immagini corrette con la patch prima ancora che l’annuncio ufficiale fosse usc

Source: Today's PHP security release, and how we're strengthening security