Che cosa sta cercando?
Avviso di sicurezza: vulnerabilità in PHP
CVE-2026-109618 e CVE-2026-109619
30 ottobre 2026
Panoramica
Keysight è a conoscenza di due vulnerabilità critiche, CVE-2026-109618 e CVE-2026-109619, segnalate nel linguaggio di scripting PHP che potrebbero consentire l’esecuzione di codice da remoto (RCE). Entrambe sono state rese pubbliche il 21 ottobre 2026 e il progetto PHP assegna a ciascuna un punteggio di 9,2 (critico) sulla scala CVSS v4.0. Sono stati segnalati pubblicamente tentativi di sfruttamento di tali vulnerabilità.
La vulnerabilità CVE-2026-109618 riguarda una gestione impropria delle condizioni di esaurimento della memoria, che può lasciare la memoria della richiesta in uno stato non valido o parzialmente inizializzato, con il rischio di causare un danneggiamento della memoria durante la pulizia della richiesta e di consentire l'esecuzione di codice remoto (RCE). CVE-2026-109619 riguarda lo stato di una richiesta PHP che potrebbe continuare a fare riferimento alla memoria dopo che questa è stata liberata; una richiesta successiva sullo stesso worker potrebbe utilizzare questo stato obsoleto prima che sia completamente inizializzato, il che può anch’esso causare un RCE. Il progetto PHP ha rilasciato correzioni nelle versioni PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35.
Al 27 ottobre, Keysight continua a valutare il potenziale impatto di queste vulnerabilità sull’intero portafoglio di prodotti. Sulla base delle valutazioni completate fino ad oggi, la maggior parte dei prodotti Keysight IP Traffic, Wireless , degli emulatori di sicurezza e dei prodotti per il monitoraggio delle operazioni di rete (precedentemente Ixia NAS) non è interessata¹ poiché non utilizza PHP oppure il componente PHP interessato è stato rimosso dalla versione software applicabile. Per i prodotti identificati come interessati, l’elenco riportato di seguito fornisce lo stato della vulnerabilità applicabile e le misure correttive o di mitigazione raccomandate.
Prodotti interessati, misure di mitigazione e azioni raccomandate
| Prodotto interessato | Mitigazione | Azione raccomandata |
|---|---|---|
| Hawkeye — Potenzialmente interessato dalla vulnerabilità CVE-2026-109619. Hawkeye utilizza PHP 8.2.33 con Nginx. Il team tecnico ha stabilito che Hawkeye non è interessato dalla vulnerabilità CVE-2026-109618. L'esposizione alla vulnerabilità CVE-2026-109619 è considerata improbabile, ma non è stata esclusa in modo definitivo. | Keysight sta preparando un aggiornamento a PHP 8.2.35 nella versione v6.1.1-101. | Si raccomanda ai clienti di tenere d'occhio il sito Keysight Support e di installare l'aggiornamento software pertinente non appena disponibile. |
| iBypass HD — Vulnerabile quando il server web è abilitato. iBypass HD utilizza PHP 5.6.31. Il prodotto è fuori sviluppo e non sono previste nuove versioni del software. | Il server web è disabilitato per impostazione predefinita. Se è stato abilitato esplicitamente, disabilitalo utilizzando il comando CLI indicato nella sezione "Azione consigliata". | Si raccomanda ai clienti di mantenere il server web disabilitato. Se il server web fosse stato abilitato, disabilitarlo dalla CLI con il comando: websrv set admin=disable |
Prodotti ritenuti non vulnerabili
| Prodotti ritenuti non vulnerabili | Azione raccomandata |
|---|---|
| Packet Broker Vision Network con NVOS 6.6.0 o versioni successive Il componente PHP in questione è stato rimosso a partire dalla versione 6.6.0. La presente valutazione include Vision 7300, Vision Edge 10S (E10S), Vision Edge 40 (E40), Vision Edge 50 (E50), Vision Edge 100 (E100), Vision 7712, Vision 7816, Vision X, Vision ONE, TradeVision, Vision 400, Vision Edge 400P (E400P), Vision 400XT (V400XT), Vision X 400G (VX 400G), Vision Edge OS - 9516 (9516), Vision Edge 400P Rev2 (E400P Rev2) e Vision Edge 400S (E400S). | I clienti devono verificare che i sistemi utilizzino NVOS 6.6.0 o una versione successiva. I clienti che utilizzano una versione precedente devono contattare l'assistenza Keysight per ricevere indicazioni specifiche. |
Vision Industrial Network Packet Brokers | Non è necessario intraprendere alcuna azione |
| Prodotti software e cloud per la visibilità Keysight Vision Orchestrator (KVO), Virtual Packet Broker (vPB), 5G Service-Based Interface (5G SBI), CloudLens vTAP, AppStack e TimeKeeper non utilizzano PHP. | Non è necessario intraprendere alcuna azione |
| Prodotti iBypass e iLinkAgg IXPR-CU3, IXTP-CU3, IXBP-CU3, iBypass DUO, iBypass 100G, iBypass VHD e iLinkAgg2 non utilizzano PHP. Il resto del portafoglio valutato non utilizza PHP né fornisce un'interfaccia grafica basata su PHP. | Non è necessario intraprendere alcuna azione |
| Prodotti ThreatARMOR | Non è necessario intraprendere alcuna azione |
| IFC-CM (Indigo Pro) | Non è necessario intraprendere alcuna azione |
| Prodotti per il test delle reti IxNetwork non utilizza PHP Web Runtime; le edizioni IxNetwork VE/Virtual Editions e BreakingPoint VE non sono vulnerabili; IxLoad, CyPerf, BreakingPoint System (BPS), IxOS, IxVeriwave, LoadCore e KCOS non utilizzano PHP. | Non è necessario intraprendere alcuna azione |
Per i prodotti o le versioni non espressamente elencati, contattare l'assistenza Keysight per una valutazione specifica del prodotto.
Dettagli sulla vulnerabilità
| CVE | Descrizione | CVSS v4.0 | Risolto in PHP |
|---|---|---|---|
| CVE-2026-109618 | Esecuzione remota di codice tramite corruzione dovuta all’esaurimento della memoria: una richiesta interrotta lascia i dati interni parzialmente inizializzati e la procedura di pulizia della richiesta li considera validi. | 9.2 | 8.5.12, 8.4.27, 8.3.36, 8.2.35 |
| CVE-2026-109619 | Esecuzione remota di codice tramite uno stato globale non aggiornato: lo stato associato a una richiesta permane anche dopo che la memoria ad esso associata è stata liberata e viene riutilizzato da una richiesta successiva sullo stesso worker. | 9.2 | 8.5.12, 8.4.27, 8.3.36, 8.2.35 |
Il progetto PHP afferma che tutte le installazioni PHP che gestiscono richieste web sono a rischio, incluse PHP-FPM, Apache mod_php, php-cgi, FrankenPHP e LiteSpeed. Le versioni di PHP 8.1 e precedenti non ricevono più aggiornamenti dal progetto PHP.
Impatto potenziale
- Esecuzione di codice controllato dall'autore dell'attacco su un server web vulnerabile senza autenticazione, che può comportare l'accesso al file system e ai database, nonché l'interruzione dei servizi.
- Possibile divulgazione dei contenuti della memoria, quali credenziali, chiavi o dati di sessione.
Un'interfaccia di gestione compromessa può fungere da punto d'appoggio per accedere alla rete circostante.
Per ulteriori domande, contattare Keysight.
1 Keysight ha compiuto ogni sforzo ragionevole dal punto di vista commerciale per redigere l'elenco dei prodotti interessati dalla vulnerabilità PHP. Keysight fornisce queste informazioni a titolo di comodità e non ne garantisce la completezza.
Volete aiuto o avete domande?