PHP CVE-2026-109618 e -109619: pacchetti CloudLinux e scudo Imunify360

Il 21 ottobre 2026 il progetto PHP ha pubblicato le versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35 per correggere due vulnerabilità critiche, CVE-2026-109618 e CVE-2026-109619, entrambe con punteggio CVSS v4.0 di 9.2. Chi gestisce hosting su CloudLinux deve sapere che i pacchetti del produttore non seguono subito gli stessi numeri di versione: la correzione arriva come backport, quindi la conferma va fatta sul changelog, non sul numero di release.

Cosa colpiscono le due falle

CVE-2026-109618 è una corruzione di memoria che si attiva quando PHP esaurisce la memoria disponibile durante una richiesta. CVE-2026-109619 è un uso-dopo-libera (use-after-free): uno stato residuo di una richiesta precedente resta accessibile e un worker riutilizzato lo tratta come valido. Secondo CloudLinux sono interessate tutte le installazioni che servono richieste web: PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed, con il rischio più alto su mod_php. Per dare un'idea della portata, Unit 42 di Palo Alto Networks ha censito oltre 22,6 milioni di istanze esposte potenzialmente vulnerabili in base alla propria telemetria, mentre watchTowr ha dichiarato di aver osservato sfruttamento attivo tramite la propria rete di honeypot Attacker Eye.

Stato dei pacchetti CloudLinux

Per EasyApache4 (ea-php) i pacchetti corretti da ea-php52 a ea-php85 sono già in stable per CloudLinux 7, 8, 9 e 10. Per aggiornare:

dnf clean all && dnf upgrade "ea-php*"
/scripts/restartsrv_httpd
/scripts/restartsrv_apache_php_fpm

Per alt-php su CloudLinux 7, 8 e 9 i pacchetti corretti sono in transito verso i repository stabili: nel frattempo vanno presi dal repository TuxCare ELS ALT PHP (dnf install -y els-php-release, poi dnf upgrade -y 'alt-php*'). Su CloudLinux 10 un aggiornamento normale installa tutte le versioni corrette tranne alt-php 5.2, ancora in rilascio. Per i pacchetti PHP nativi del sistema operativo (non alt-php né ea-php), le build corrette sono in stable solo per PHP 8.2 e 8.3 su CloudLinux 9 e per PHP 8.2 su CloudLinux 8; le altre versioni sono ancora in test. Per verificare la correzione, visto che i numeri di versione restano più bassi di quelli ufficiali PHP, va controllato il changelog del pacchetto:

rpm -q ea-php84-php-cli --changelog | grep -E 'CVE-2026-(109618|109619)'

La mitigazione di Imunify360 non è una patch

Chi ha il WAF di Imunify360 attivo riceve automaticamente i ruleset 8.83, 8.84 e 8.85, che bloccano le richieste dell'exploit noto e lo strumento pubblico di attacco, anche su LiteSpeed. CloudLinux precisa che si tratta di una mitigazione temporanea: nessuna regola blocca ancora il percorso di esaurimento memoria di CVE-2026-109618. L'aggiornamento di PHP resta l'unica correzione definitiva. Da ricordare anche che PHP 8.2 arriva a fine vita il 31 dicembre 2026, data dopo la quale non riceverà più patch di sicurezza.