PHP, due falle critiche «php2shell»: le patch per ogni release di Ubuntu

Canonical ha reso disponibili, per tutte le release di Ubuntu supportate, le correzioni di due vulnerabilità critiche di PHP, CVE-2026-109618 e CVE-2026-109619, note anche con il soprannome «php2shell», come si legge nel post sul blog di Ubuntu. Secondo Canonical consentono a un attaccante non autenticato di eseguire codice da remoto in qualsiasi applicazione PHP. Chi gestisce server Ubuntu con applicazioni PHP deve quindi aggiornare i pacchetti dell’interprete e, secondo Canonical, con ogni probabilità riavviare anche l’applicazione che li usa.

Che cosa permettono le due falle e perché la data è slittata

Entrambe le vulnerabilità hanno un punteggio CVSS 4.0 di 9.2, che corrisponde alla gravità CRITICAL. Secondo Canonical, un attaccante con accesso di rete all’applicazione web può ottenere senza difficoltà l’esecuzione di codice arbitrario con le credenziali dell’applicazione sul sistema bersaglio. Il post non indica quale componente o funzione di PHP sia coinvolta.

La PHP Foundation aveva concordato con le distribuzioni una divulgazione coordinata, con data pubblica fissata al 22 ottobre 2026 alle 14:00 UTC. Secondo Canonical, a causa di una fuga di notizie pubblica la data è stata anticipata al 21 ottobre 2026 alle 14:00 UTC.

Le versioni corrette per ogni release di Ubuntu

Il nome del pacchetto varia da una release all’altra, e Canonical indica per ciascuna la versione che contiene la correzione.

Come verificare e aggiornare

Per sapere quali versioni dell’interprete sono installate, Canonical indica un comando che filtra i pacchetti per nome. Il filtro, però, coglie solo i pacchetti con nome del tipo php8.3 e non i componenti FPM, CGI, CLI e mod_php, e la sintassi richiede APT 2.0 o successivo, quindi non vale per le release più vecchie.

• verifica, anche sulle release meno recenti: dpkg -l 'php[0-9]*' 'libapache2-mod-php[0-9]*'. Le righe contrassegnate ii indicano i pacchetti installati, le cui versioni vanno confrontate con quelle dell’avviso USN della propria release;
• aggiornamento completo del sistema, raccomandato da Canonical: sudo apt update && sudo apt upgrade;
• se non è possibile aggiornare tutto, si esegue sudo apt update e poi sudo apt install --only-upgrade seguito dai nomi dei pacchetti PHP effettivamente installati elencati nell’avviso USN della propria release, inclusi i componenti FPM, CGI, CLI e mod_php presenti.

Dopo l’aggiornamento l’applicazione che usa l’interprete va probabilmente riavviata. Con apache2 e mod_php occorre riavviare il demone con sudo systemctl restart apache2; in alternativa si può riavviare l’intero sistema con sudo reboot, così che tutte le applicazioni usino i componenti aggiornati.

Aggiornamenti automatici e release fuori dal supporto standard

Secondo Canonical, da Ubuntu 16.04 LTS in poi unattended-upgrades è attivo per impostazione predefinita e applica gli aggiornamenti di sicurezza ogni 24 ore. Con la funzione attiva le patch arrivano quindi da sole entro 24 ore dalla disponibilità, ma le applicazioni vanno comunque riavviate o il sistema riavviato.

Le correzioni arrivano con il supporto standard per Ubuntu 26.10, 26.04 LTS, 24.04 LTS e 22.04 LTS. Per Ubuntu 20.04 LTS e precedenti Canonical indica una sottoscrizione Ubuntu Pro tramite il servizio Expanded Security Maintenance (ESM), gratuita fino a 5 macchine, o fino a 50 per i membri della community.

L’avviso di sicurezza USN-8948-2, relativo alle release dalla 14.04 alla 20.04, precisa che per la 16.04 LTS e la 14.04 LTS la correzione è disponibile con Ubuntu Pro tramite l’add-on Legacy Support. L’avviso USN-8948-1 copre invece le release 22.04, 24.04, 26.04 e 26.10; Canonical rimanda inoltre alla pagina dell’archivio 2026 di php.net.

Leggi anche

• PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35 correggono due falle critiche
• GitLab RCE: falla CVSS 10.0 senza login dalla versione 7.0, come aggiornare