{"id":2651,"date":"2026-10-29T16:32:48","date_gmt":"2026-10-29T16:32:48","guid":{"rendered":"https:\/\/www.artemis-security.it\/?p=2651"},"modified":"2026-10-29T16:32:50","modified_gmt":"2026-10-29T16:32:50","slug":"vulnerabilita-php-gitlab-nodejs","status":"publish","type":"post","link":"https:\/\/www.artemis-security.it\/en\/vulnerabilita-php-gitlab-nodejs\/","title":{"rendered":"Vulnerabilit\u00e0 PHP, GitLab e Node.js: le patch di ottobre 2026"},"content":{"rendered":"

Se in questi giorni il vostro reparto IT vi \u00e8 sembrato pi\u00f9 nervoso del solito, c\u2019\u00e8 un motivo preciso: in meno di due settimane PHP, GitLab e Node.js hanno rilasciato aggiornamenti d\u2019emergenza per falle gravissime.<\/strong><\/strong><\/strong><\/h4>\n\n\n\n

Il nome di queste tre tecnologie potrebbe non dirvi molto. Ma \u00e8 probabile che il vostro sito, il vostro e-commerce, un gestionale o le applicazioni su cui lavora il vostro team ne usino almeno una.<\/p>\n\n\n\n

Cosa \u00e8 successo davvero<\/strong><\/strong><\/strong><\/strong><\/h2>\n\n\n\n

PHP<\/strong> \u00e8 il linguaggio su cui gira una parte enorme del web, dai siti aziendali ai portali. GitLab<\/a><\/strong> \u00e8 la piattaforma dove molte aziende custodiscono e sviluppano il proprio codice. Node.js<\/a><\/strong> sta dietro a moltissime applicazioni moderne.<\/p>\n\n\n\n

In tutti e tre i casi sono state trovate falle che, nel caso peggiore, permettono a un aggressore di eseguire comandi sul vostro server da remoto<\/strong>. In alcuni scenari, senza nemmeno bisogno di una password.<\/p>\n\n\n\n

<\/div>\n\n\n\n
\"PHP<\/figure>\n\n\n\n
<\/div>\n\n\n\n

PHP: una falla che ha anticipato il calendario<\/strong><\/strong><\/strong><\/strong><\/h2>\n\n\n\n

Il 21 ottobre il team di PHP ha pubblicato un aggiornamento di sicurezza per due vulnerabilit\u00e0 critiche che possono consentire l\u2019esecuzione di codice remoto senza autenticazione. La coppia di falle \u00e8 stata soprannominata PHP2Shell<\/a><\/strong>.<\/p>\n\n\n\n

La notizia \u00e8 circolata prima del previsto: i dettagli sono trapelati il 20 ottobre, prima della divulgazione programmata per il 22, e il rilascio \u00e8 stato anticipato. Il problema riguarda ogni installazione PHP che risponde a richieste web. Non \u00e8 un difetto di WordPress o dei suoi plugin: \u00e8 nel linguaggio sottostante, quindi la correzione va applicata sul server, di solito dal vostro fornitore di hosting o dal vostro team IT.<\/p>\n\n\n\n

Sul fatto che qualcuno stia gi\u00e0 sfruttando la falla, le fonti non concordano per\u00f2. Amazon<\/strong> ha individuato un tentativo di attacco gi\u00e0 il 17 ottobre, mentre l\u2019agenzia americana CISA<\/a><\/strong>, il 21, non ne aveva rilevati. Il consiglio \u00e8 di non aspettare conferme, e il progetto PHP stesso precisa che non esistono mitigazioni complete: aggiornare \u00e8 l\u2019unica scelta sicura<\/strong>.<\/p>\n\n\n\n

GitLab: aggiornato il 12 ottobre? Non basta<\/strong><\/strong><\/strong><\/strong><\/h2>\n\n\n\n

Qui il caso \u00e8 quasi paradossale. GitLab ha corretto una falla con punteggio massimo di gravit\u00e0 il 12 ottobre, e nove giorni dopo ne ha corretta un\u2019altra<\/a><\/strong>, altrettanto grave. Colpisce ogni versione del software dal 2014 e permette di eseguire codice su un server senza autenticarsi.<\/p>\n\n\n\n

Il punto che sorprende molti: la prima correzione copriva solo le versioni pi\u00f9 recenti, quindi chi aveva aggiornato allora risulta di nuovo vulnerabile. Secondo GitLab, non ci sono al momento prove di sfruttamento. Il rischio, comunque, riguarda le installazioni gestite in proprio, non il servizio ospitato da GitLab.<\/p>\n\n\n\n

Node.js: il rischio nascosto nei container<\/strong><\/strong><\/strong><\/strong><\/h2>\n\n\n\n

Il 21 ottobre Node.js ha corretto dieci vulnerabilit\u00e0<\/a> su tutte le versioni supportate. La pi\u00f9 seria riguarda Brotli<\/strong>, la libreria che gestisce la decompressione dei dati, e pu\u00f2 diventare un problema quando un\u2019applicazione elabora file o dati provenienti dall\u2019esterno.<\/p>\n\n\n\n

E c\u2019\u00e8 un dettaglio che spesso sfugge: le applicazioni impacchettate in container costruiti prima del 21 ottobre restano esposte. Aggiornare il server non basta<\/strong>, vanno ricostruite anche le immagini.<\/p>\n\n\n\n

<\/div>\n\n\n\n
\"PHP<\/figure>\n\n\n\n
<\/div>\n\n\n\n

Perch\u00e9 riguarda anche voi, non solo l’IT<\/strong><\/strong><\/h2>\n\n\n\n

Questa non \u00e8 una questione da lasciare in fondo alla lista dei compiti tecnici. Tre domande che dovreste porvi, e porre al vostro team:<\/p>\n\n\n\n