Ubuntu corregge una falla DoS in Protocol Buffers per PHP (CVE-2026-6409)
Canonical rilascia la patch per il pacchetto php-google-protobuf su Ubuntu 24.04 e 26.04 LTS: corregge un DoS sfruttabile con input malformati.
Redazione UptimeMag · 21 ottobre 2026 · 1 minuti di lettura
Canonical ha pubblicato il 20 ottobre 2026 l'avviso USN-8943-1, che corregge una vulnerabilità di tipo denial-of-service nella libreria PHP di Protocol Buffers (protobuf). Riguarda chi ha server Ubuntu 24.04 LTS o 26.04 LTS con applicazioni PHP che deserializzano messaggi protobuf provenienti da fonti esterne: API interne, microservizi, code di messaggi.
Il problema
La vulnerabilità, identificata come CVE-2026-6409, era già nota da tempo: maliciously structured messages, specificatamente quelle contenenti varint negativi o ricorsione profonda, possono essere usate per mandare in crash l'applicazione, compromettendo la disponibilità del servizio. Il problema è classificato come CWE-20, improprio controllo dell'input, e ha un punteggio CVSS di 7.1/10, severità alta.
Secondo il changelog del pacchetto, Canonical ha applicato due patch distinte: una rifiuta i valori di lunghezza negativi nella funzione readRaw in CodedInputStream.php, l'altra impone un limite di ricorsione nello stesso file.
Va notato che la falla non è nuovissima: era stata pubblicata il 16 aprile 2026. Sono quindi passati circa sei mesi prima che la patch arrivasse su Ubuntu. Chi gestisce anche sistemi Debian deve fare attenzione: al momento della scrittura il tracker ufficiale segnala i pacchetti protobuf di bullseye, bookworm, trixie, forky e sid ancora come vulnerabili, senza versione corretta disponibile.
Come aggiornare
Sui sistemi interessati basta il normale ciclo di aggiornamento:
sudo apt update && sudo apt upgrade
Le versioni corrette del pacchetto sono:
| Release Ubuntu | Pacchetto | Versione corretta |
|---|---|---|
| 24.04 LTS (noble) | php-google-protobuf | 3.21.12-8.2ubuntu0.4 |
| 26.04 LTS (resolute) | php-google-protobuf | 3.21.12-15ubuntu1.1 |
Chi usa Protobuf-php installato via PECL invece che dai repository di sistema deve controllare la versione a parte: secondo OpenCVE le versioni corrette a monte sono 0 affected < 5.34.0-RC1 0 affected < 4.33.6, quindi 4.33.6 o 5.34.0-RC1 e successive.
Non risultano, al momento, exploit pubblici in circolazione: no proven exploits have appeared in public advisories secondo l'analisi di OpenCVE.
Testo redatto con il supporto dell'intelligenza artificiale e verificato dalla redazione (AI Act, art. 50).