Passa al contenuto principale

Runtime web PHP (CVE-2026-109618 e CVE-2026-109619)

Si tratta di un problema in corso. Le informazioni sono soggette a modifiche. Fai riferimento a questo bollettino per le informazioni più aggiornate sulle patch.

ID Bollettino: 2026-143-AWS
Ambito: AWS
Tipo di contenuto: importante (richiede attenzione)
Data di pubblicazione: 21/10/2026 14:30 PDT
Data ultimo aggiornamento: 30/10/2026 13:15 PDT

Riepilogo:

sono stati identificati due problemi critici nei runtime web di PHP (CVE-2026-109618 e CVE-2026-109619) che possono consentire a un soggetto non autenticato di eseguire codice sui sistemi interessati. Un chiamante remoto può inviare richieste web predisposte ai worker PHP interessati ed eseguire codice arbitrario, leggere dati accessibili ai processi o causare un’interruzione del servizio.

I servizi AWS non sono interessati da questi problemi. I clienti che utilizzano le versioni interessate di PHP all’interno dei servizi elencati di seguito potrebbero esserne colpiti e devono consultare le linee guida fornite.

Versioni interessate:

  • PHP 8.5: versioni interessate 8.5.0 - 8.5.11 · Prima versione corretta: 8.5.12
  • PHP 8.4: versioni interessate 8.4.0 - 8.4.26 · Prima versione corretta: 8.4.27
  • PHP 8.3: versioni interessate 8.3.0 - 8.3.35 · Prima versione corretta: 8.3.36
  • PHP 8.2: versioni interessate 8.2.0 - 8.2.34 · Prima versione corretta: 8.2.35
  • PHP 5.4 - 8.1: nessuna correzione upstream rilasciata. Fine del ciclo di vita e nessuna correzione pianificata. È richiesta la migrazione a un banch supportato.

Impatto:

questo problema può essere sfruttato da remoto da un soggetto non autenticato attraverso il perimetro tra Internet e l’applicazione del cliente, determinando potenzialmente l’esecuzione di codice, l’accesso non intenzionale ai dati accessibili dal processo o una condizione di Denial of Service sul worker PHP oggetto dell’attacco. Il problema è limitato al worker interessato e alle relative autorizzazioni a livello di applicazione; finora non è stata stabilita alcuna propagazione tra clienti.

Stato attuale della mitigazione:

  • Amazon EMR: sono interessati i cluster Amazon EMR su EC2 avviati con Ganglia incluso nel set di applicazioni, in particolare le versioni di EMR 4.2.0 - 5.29.0 e 5.30.0 - 6.15.0. Amazon EMR su EKS e Amazon EMR Serverless non sono interessati, in nessuna versione. In Amazon EMR su EC2 non sono interessati neanche i cluster che eseguono la versione 7.0.0 o versioni successive e i cluster avviati senza Ganglia installato. Per le versioni interessate, i clienti che avviano nuovi cluster devono escludere Ganglia quando non è richiesto. Ove possibile, i clienti dovrebbero eseguire l’aggiornamento a EMR 7.x, che non include più Ganglia, e utilizzare l’agente di Amazon CloudWatch per la telemetria e il monitoraggio.

  • Amazon WorkMail: AWS ha applicato dei controlli a livello di configurazione e ha completato l’aggiornamento a PHP 8.3.36. Non è necessaria alcuna azione da parte del cliente.

  • AWS Elastic Beanstalk: AWS ha rilasciato versioni della piattaforma PHP aggiornate per tutte le versioni di PHP supportate (da 8.2 a 8.5) contenenti la correzione upstream per PHP. I clienti che hanno attivato gli aggiornamenti gestiti della piattaforma riceveranno l’aggiornamento automaticamente durante la finestra di manutenzione successiva. I clienti che non hanno attivato gli aggiornamenti gestiti della piattaforma dovrebbero aggiornare la versione della piattaforma del loro ambiente seguendo la procedura prevista: PHP 8.5/8.4 e PHP 8.3/8.2.

  • AWS Lambda: AWS Lambda non fornisce un runtime PHP gestito. I clienti che hanno implementato PHP come un runtime personalizzato o un’immagine container sono responsabili dell’aggiornamento della versione PHP utilizzata nelle loro funzioni. Consigliamo di eseguire l’aggiornamento a una versione PHP con patch il prima possibile e di ridistribuire le funzioni. Per indicazioni sulla creazione e il mantenimento di runtime personalizzati, consultare la documentazione di AWS Lambda. Se si utilizza il progetto Bref di terza parte per eseguire PHP su Lambda, Bref ha pubblicato una versione di sicurezza contenente layer aggiornati e immagini Docker con le versioni di PHP con patch. Per le istruzioni relative all’aggiornamento, fare riferimento alla versione di sicurezza per Bref.

  • Amazon Linux: i pacchetti PHP aggiornati sono disponibili per tutte le regioni. I clienti che eseguono PHP su Amazon Linux dovrebbero applicare i pacchetti aggiornati non appena disponibili. Consultare i dettagli relativi alle vulnerabilità CVE-2026-109618 e CVE-2026-109619 nel Centro sicurezza di Amazon Linux.

  • Amazon Lightsail: i blueprint Lightsail aggiornati sono ora disponibili in tutte le regioni. AWS non può aggiornare le istanze Lightsail esistenti in esecuzione. I clienti che eseguono carichi di lavoro PHP su Lightsail dovrebbero creare nuove istanze a partire dai blueprint aggiornati e migrare le proprie applicazioni secondo quanto illustrato nella documentazione.

  • AWS CodeBuild: AWS renderà disponibili le immagini curate di CodeBuild aggiornate con PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12 a partire dal 30 ottobre 2026. I clienti i cui progetti utilizzano l’immagine curata più recente riceveranno automaticamente l’aggiornamento alla build successiva. I clienti che hanno selezionato una versione specifica dell’immagine dovrebbero eseguire l’aggiornamento all’ultima versione dell’immagine, e i clienti che generano immagini personalizzate da un’immagine curata di CodeBuild dovrebbero rigenerarle. PHP 8.1 e versioni precedenti, avendo raggiunto la fine del ciclo di vita, non riceveranno correzioni; i clienti che selezionano queste versioni nel proprio buildspec dovrebbero migrare a una versione PHP supportata.
    CodeBuild non esegue server PHP come parte del servizio di compilazione; questi problemi sono rilevanti solo per le build che avviano un server PHP. Per le immagini e le versioni di runtime disponibili, fare riferimento a Immagini Docker fornite da CodeBuild.

Linee guida per la mitigazione:

  • eseguire immediatamente l’aggiornamento a una versione PHP con patch è l’unica soluzione completa: 8.5.12, 8.4.27, 8.3.36 o 8.2.35. Le modifiche alla configurazione riportate di seguito possono ridurre l’impatto per i clienti che non possono eseguire l’aggiornamento immediatamente, ma nessuna di esse costituisce una mitigazione completa.

  • Fare riferimento all’Avviso sulla sicurezza: vulnerabilità critiche relative all’esecuzione di codice in modalità remota, eseguire l’aggiornamento ora per ulteriori mitigazioni.

  • Runtime di fine vita 5.4 - 8.1: applicare i controlli di configurazione provvisori per la vulnerabilità CVE-2026-109619, laddove efficaci, riavviare i worker PHP e iniziare immediatamente la migrazione verso un branch PHP supportato e corretto. Non sono disponibili correzioni per la vulnerabilità CVE-2026-109618 sui branch che hanno raggiunto la fine del ciclo di vita.

  • Controlli di compensazione in caso di utilizzo di AWS WAF:
    L’applicazione di patch costituisce l’unica soluzione completa e i clienti dovrebbero aggiornare PHP come priorità assoluta. Poiché l’applicazione di patch a un parco istanze richiede tempo, consigliamo di esaminare questo post del blog, che mostra come utilizzare Web Application Firewall AWS (AWS WAF) per ridurre l’esposizione durante tale finestra. Si tenga presente che questo blog verrà aggiornato con le modifiche alle linee guida di AWS WAF con l’evolversi della situazione.

    Aggiorniamo continuamente il gruppo di regole gestite di AWS WAF per PHP al fine di aggiungere protezione per entrambe le vulnerabilità CVE-2026-109618 e CVE-2026-109619. I clienti che utilizzano la versione predefinita saranno protetti automaticamente senza dover eseguire alcuna azione. I clienti che hanno selezionato una versione specifica devono eseguire l’aggiornamento alla versione più recente per ricevere questa protezione. Per la versione più recente e i dettagli sulle regole aggiunte, consultare il changelog delle Regole gestite da AWS WAF e iscriversi all’argomento SNS delle Regole gestite da AWS.

Riferimenti:


Invia un’e-mail a aws-security@amazon.com per eventuali domande o dubbi sulla sicurezza.