PHP divulga nuova falla RCE senza patch a due giorni dall'emergenza PHP2Shell

Il progetto PHP ha divulgato una nuova vulnerabilità RCE senza patch disponibile, CVE-2026-115560, il 23 ottobre 2026. La data cade a soli due giorni dalle patch emergenza che avevano corretto le due falle PHP2Shell, CVE-2026-109618 e CVE-2026-109619. La stessa mitigazione temporanea già raccomandata per le precedenti — disabilitare session.upload_progress.enabled — protegge anche da questa nuova variante. Il linguaggio alimenta circa il 70% dei siti web mondiali.

La sequenza: 48 ore tra patch e nuova divulgazione

Il 21 ottobre 2026 PHP ha distribuito patch emergenza per le versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35, correggendo CVE-2026-109618 e CVE-2026-109619. Entrambe le vulnerabilità precedenti hanno ricevuto punteggio CVSS 9.2 (v4.0). Il 23 ottobre, mentre gli amministratori ancora verificavano gli aggiornamenti, PHP ha divulgato CVE-2026-115560.

Non sono stati riportati exploit per questa nuova falla. Gli attacchi osservati dal 21 ottobre mirano esclusivamente alle due CVE precedenti. Le patch del 21 ottobre non correggono la 115560, e PHP ha scelto di non accelerare il ciclo di rilascio. La separazione è esplicita: tre identificatori CVE in 48 ore, tutti legati alla stessa funzionalità di session upload progress.

Il meccanismo: stato globale non resettato

Il nucleo tecnico risiede nella gestione del serializzatore sessioni. Secondo la descrizione riportata da BleepingComputer, che cita il team PHP:

"An application must set session.serialize_handler to php_binary or php_serialize in its configuration and then switch it to php at runtime with ini_set() before calling session_start(). Session upload progress must also still be enabled"

Questa sequenza specifica lascia uno stato globale non resettato nel motore sessioni. L'interazione con il meccanismo di tracciamento progressivo degli upload può condurre a use-after-free e conseguente esecuzione remota di codice.

Il meccanismo ricorda quello dello stale global state documentato per CVE-2026-109619 nel GitHub Security Advisory GHSA-6wmf-4rv5-p3rp. PHP non ha confermato se le due falle condividano la stessa causa radice. La configurazione vulnerabile richiede che l'applicazione modifichi il serializzatore a runtime, una pratica non comune nella maggior parte dei codebase PHP. Su questo si fonda la valutazione di rischio "unlikely" del progetto.

Fatti verificabili e contesto di analisi

I fatti verificabili dalla documentazione disponibile sono tre. Primo: 48 ore separano le patch emergenza del 21 ottobre dalla divulgazione della nuova vulnerabilità senza patch. Secondo: la stessa mitigazione protegge da entrambe le falle. Terzo: PHP non ha assegnato CVSS né elencato versioni affette per CVE-2026-115560, lasciando i team di sicurezza senza strumenti standard per prioritizzare.

Questa asimmetria informativa è rilevante. I team di sicurezza enterprise si affidano a punteggi CVSS e matrici di versione per orchestrare patch e monitoraggio. La loro assenza per CVE-2026-115560 costringe a decisioni basate su descrizioni qualitative di configurazione, un formato che non scala nei workflow automatizzati. PHP ha comunicato che la fix arriverà nel prossimo rilascio di routine, senza indicare una data.

Cosa fare adesso

• Verificare lo stato di session.upload_progress.enabled nel file php.ini o nelle configurazioni virtual host: se già impostato a 0 per la mitigazione PHP2Shell, nessun intervento aggiuntivo è necessario
• Controllare l'uso di ini_set('session.serialize_handler', 'php') nel proprio codebase: la configurazione vulnerabile richiede esplicitamente questa sequenza di chiamate
• Pianificare l'aggiornamento alla prossima release di routine PHP senza attendere patch fuori ciclo: il progetto ha confermato che CVE-2026-115560 sarà corretta nel prossimo rilascio regolare
• Documentare la mancanza di CVSS e versioni affette nei sistemi di ticketing interni: questa lacuna è nota e va gestita esplicitamente nei cicli di valutazione del rischio

Limiti della coverage e fonti

La coverage tecnica dettagliata di CVE-2026-115560 si basa principalmente su The Hacker News e BleepingComputer, con conferma di esistenza da CERT-EU. Manca un advisory strutturato dedicato alla nuova vulnerabilità: il GitHub Security Advisory GHSA-6wmf-4rv5-p3rp copre solo CVE-2026-109619. Le fonti su CVE-2026-115560 sono quindi meno granulari rispetto a quelle disponibili per le falle precedenti.

La citazione di BleepingComputer sulla mitigazione identica appare in entrambe le fonti primarie con formulazione equivalente. Il team PHP non ha rilasciato comunicati separati per CVE-2026-115560, affidandosi ai canali di sicurezza consolidati.

Perché la storia è rilevante oggi

La concentrazione temporale è insolita. Tre CVE con potenziale RCE in 48 ore, tutte legate alla stessa funzionalità opzionale, costituiscono un pattern che il progetto PHP non ha ancora spiegato. La scelta di non rilasciare patch emergenza per la terza falla, combinata con l'assenza di CVSS e versioni affette, indica un approccio alla divulgazione che privilegia la valutazione interna sulla trasparenza verso gli operatori.

La stessa mitigazione che proteggeva da PHP2Shell protegge ora anche da CVE-2026-115560. Questa sovrapposizione è un dato oggettivo, non un'interpretazione: chi aveva già disabilitato session upload progress il 21 ottobre non deve intervenire. Il team PHP ha comunicato esplicitamente, via BleepingComputer:

"If you applied it then, keep it in place and no further action is needed"

CERT-EU ha replicato la stessa raccomandazione nell'aggiornamento v1.2 del 23 ottobre 2026. La convergenza delle mitigazioni non risolve però il problema informativo: senza CVSS e senza elenco versioni, i team di sicurezza non possono calibrare la risposta con gli strumenti standard del settore. Questa è una condizione verificabile, non una critica al processo di PHP. Il progetto non ha dichiarato se intenda colmare questa lacuna con il rilascio della patch di routine.

Fonti

• thehackernews.com
• cert.europa.eu
• bleepingcomputer.com
• github.com
• wiz.io
• watchtowr.com