PHP2Shell: Bunny Shield blocca al margine le due RCE critiche in attesa della patch

Due vulnerabilità critiche nel core di PHP, corrette con un rilascio di emergenza il 21 ottobre 2026, hanno spinto Bunny.net ad attivare regole WAF dedicate sulla propria CDN. Per chi gestisce hosting PHP la notizia riguarda due fronti: la patch da installare e, nel frattempo, una protezione al margine per i server non ancora aggiornati.

Le due falle

CVE-2026-109618 è una RCE via corruzione di memoria durante la gestione degli errori out-of-memory: PHP può interrompere una richiesta mentre dati interni sono inizializzati solo in parte, e la fase di cleanup può poi usare quei dati non validi. L'advisory descrive più modalità di innesco tramite richieste multipart, incluse quelle senza lunghezza dichiarata utilizzabile e con nomi di campo annidati in profondità.

CVE-2026-109619 è una RCE via stato globale non ripulito: lo stato di una richiesta può restare accessibile dopo che la memoria è stata liberata, e una richiesta successiva gestita dallo stesso worker può incontrare quello stato residuo prima che PHP lo resetti. PHP conferma un percorso tramite session upload-progress, oltre ad altri percorsi legati a errori fatali e inizializzazione precoce.

Entrambe sono classificate CVSS v4.0 9.2. Secondo quanto riportato da watchTowr, PHP ha rilasciato le patch il 21 ottobre 2026 e watchTowr ha osservato sfruttamento attivo in rete, tramite la propria rete di honeypot. I dettagli delle due falle erano trapelati online il giorno prima della disclosure pianificata, costringendo il team di sicurezza PHP ad anticipare il rilascio.

Versioni corrette

Branch PHP	Versione corretta
8.5	8.5.12
8.4	8.4.27
8.3	8.3.36
8.2	8.2.35

PHP 8.2 riceve fix di sicurezza solo fino al 31 dicembre 2026: chi è ancora su quel branch deve mettere in agenda anche il passaggio a 8.3 o superiore.

Le regole WAF di Bunny Shield

Regola gestita	Cosa intercetta	Falla coperta
WAF-PHP-UPLOAD-PROGRESS-POC	Richieste multipart con il campo di default PHP_SESSION_UPLOAD_PROGRESS	CVE-2026-109619, percorso session upload-progress confermato
WAF-PHP-MULTIPART-NESTING	Nomi di campo multipart annidati 20 livelli o più	CVE-2026-109618, pressione di memoria da input annidati

Le regole bloccano solo se la Shield Zone del cliente è in modalità blocking; in modalità log-only le richieste corrispondenti non vengono fermate. Bunny.net segnala inoltre che un campo upload-progress personalizzato non viene intercettato dalla regola sul campo di default, e che chi usa form con campi profondamente annidati deve verificare i log di sicurezza per falsi positivi.

Cosa fare subito

Chi gestisce server PHP deve censire ogni origine PHP in uso, incluse quelle dietro CMS e applicazioni custom, installare le versioni corrette appena possibile e verificare la versione effettiva dopo l'aggiornamento. Chi non può aggiornare subito può disabilitare session.upload_progress.enabled, misura che riduce l'esposizione ma non sostituisce la patch.

Bunny Shield è un prodotto Bunny.net, non di Prime Software.