Due vulnerabilità estremamente gravi sono state rilevate e questo pomeriggio (ore 16 italiane), PHP promette una patch. Le vulnerabilità consentono RCE su qualsiasi server PHP dalla 5.4 in su fino alle ultime versioni più recenti.
Attenzione agli aggiornamenti: arrivano solo se avete una versione PHP in supporto, tutte quelle sotto la PHP 8.2 non riceveranno aggiornamenti.
Condivido qui un po' di materiale utile alla mitigazione e al funzionamento di questa vulnerabilità e relativi PoC che man mano stanno emergendo.
Qui trovi informazioni su come mitigarlo:
https://mrnicetry.com/posts/two-critical-php-cves-land-tomorrow-what-im-doing-right-now
Qui i PoC:
- https://jackalsyn.com/posts/php-up-2026.html
- https://github.com/ikow/php2shell-poc
