CVE-2026-109618 e CVE-2026-109619
Due nuove falle in PHP da 8.2 a 8.5 permettono a un attaccante di eseguire il proprio codice sul server del tuo negozio senza autenticarsi e di arrivare ai dati dei clienti e ai pagamenti. Colpiscono i negozi online su WooCommerce, Magento, PrestaShop, Shopware, OpenCart e altri sistemi PHP. Il firewall SecureCommerce blocca questi attacchi prima che raggiungano il tuo negozio, anche finché l’aggiornamento di PHP non è stato fatto.
Il firewall blocca gli attacchi anche se sul tuo server gira ancora la vecchia versione di PHP.
Testi l’aggiornamento di PHP con calma e lo installi quando conviene, invece di correre a correggere di notte.
Non devi configurare nulla. Le regole di filtro ad autoapprendimento del firewall SecureCommerce si adattano automaticamente ai nuovi attacchi.
Quando PHP esaurisce la memoria interrompe bruscamente l’elaborazione in corso. In alcune situazioni la memoria della richiesta non è ancora inizializzata. La pulizia successiva lavora quindi con questi dati indefiniti, e questo può essere sfruttato per iniettare codice.
Lo stato globale di PHP può continuare a puntare a memoria già liberata al termine di una richiesta. Le richieste successive leggono questi dati obsoleti prima che vengano reimpostati, e anche questo può portare all’esecuzione di codice estraneo.
Chi può eseguire codice sul server del negozio arriva ai dati dei clienti e alle interfacce di pagamento. Può modificare gli indirizzi di consegna, mandare i clienti su false pagine di pagamento o lasciare malware.
Le falle si trovano in PHP stesso, non in una singola piattaforma e-commerce. Conta la versione di PHP su cui gira il tuo negozio. Sono sicure solo queste versioni:
| Ramo PHP | Sicura dalla versione |
|---|---|
| PHP 8.2 | PHP 8.2.35 |
| PHP 8.3 | PHP 8.3.36 |
| PHP 8.4 | PHP 8.4.27 |
| PHP 8.5 | PHP 8.5.12 |
Ogni piattaforma e-commerce basata su PHP è quindi colpita finché PHP sul server non viene aggiornato: WooCommerce, Magento, Shopware, PrestaShop, OXID eShop, JTL-Shop, Gambio, xt:Commerce, OpenCart, Zen Cart e osCommerce.
PHP 8.1 e versioni precedenti come PHP 7.4 non compaiono negli avvisi ufficiali. Tuttavia non ricevono più alcun aggiornamento di sicurezza, nemmeno per le falle future. Per i negozi su PHP obsoleto, un firewall davanti al negozio è il livello di protezione più importante finché non è possibile un aggiornamento.
La versione attiva di PHP si trova nel pannello del tuo hosting, nell’area di amministrazione del negozio, tramite phpinfo() o da riga di comando con php -v. Controlla tutti i server, compresi gli ambienti di staging e di test.
Aggiorna a PHP 8.2.35, 8.3.36, 8.4.27 o 8.5.12 e riavvia i processi PHP. Secondo il team PHP l’aggiornamento è l’unica soluzione completa. Con un hosting condiviso è il provider a doverlo distribuire.
Se non puoi aggiornare subito, il team PHP consiglia di limitare le richieste prima che arrivino a PHP: dimensione delle richieste, numero di variabili, profondità di annidamento e upload, e blocco delle richieste multipart dove il negozio non ne ha bisogno.
Il firewall SecureCommerce blocca gli attacchi a entrambe le falle. Grazie all’integrazione plug-and-play il tuo negozio è collegato in poco tempo.
Il firewall SecureCommerce protegge il tuo negozio da queste falle e dalla prossima. Grazie all’integrazione plug-and-play il negozio è collegato in poco tempo, e SecureCommerce lo gestisce come servizio gestito.
Le richieste vengono filtrate prima di raggiungere il server del negozio. Regole di filtro ad autoapprendimento tengono il traffico sospetto lontano da PHP.
Incluso nei pacchetti Pro e Plus: protezione contro le falle appena pubblicate, anche prima che tu abbia potuto aggiornare i sistemi.
Sorveglianza continua dei server del negozio e del database, per individuare presto le anomalie.
Rilevamento, blocco e rimozione del malware iniettato sui tuoi server.
Su richiesta verifichiamo il tuo negozio senza impegno e definiamo insieme la protezione adatta.
Il firewall SecureCommerce respinge gli attacchi di sovraccarico e i bad bot, perché il tuo negozio resti raggiungibile.
Sì. Il firewall SecureCommerce blocca gli attacchi a entrambe le falle prima che raggiungano PHP.
Sì, se gira su PHP 8.2 prima della 8.2.35, 8.3 prima della 8.3.36, 8.4 prima della 8.4.27 o 8.5 prima della 8.5.12, indipendentemente dalla piattaforma e-commerce.
Le falle si trovano in PHP, non nella piattaforma e-commerce. Va aggiornato PHP sul server. Un aggiornamento di patch all’interno dello stesso ramo, per esempio da 8.3.x a 8.3.36, di norma non cambia la compatibilità del negozio.
PHP 7.4 e tutte le versioni fino alla 8.1 non sono citate negli avvisi ufficiali. Tuttavia non ricevono più aggiornamenti di sicurezza, nemmeno per le falle future. Pianifica un aggiornamento e nel frattempo metti un firewall davanti al negozio.
Inviaci l’URL del tuo negozio tramite il modulo di contatto. Su richiesta lo verifichiamo senza impegno e ti inviamo un preventivo per un pacchetto di protezione adatto, da 49 € al mese.
Inviaci l’URL del tuo negozio. Lo verifichiamo senza impegno e ti ricontattiamo via e-mail con un preventivo.
Richiedi la protezione