Si apre in una nuova scheda

Correzioni e mitigazioni delle vulnerabilità PHP

CVE-2026-109618 · CVE-2026-109619 · CVE-2026-115560

Versioni interessate

Si applica a: IceWarp Server, versioni 14.x e 13.0.3.

Riepilogo

Sono state divulgate vulnerabilità di PHP, identificate come CVE-2026-109618, CVE-2026-109619 e CVE-2026-115560. Poiché IceWarp Server include PHP, le installazioni che utilizzano una versione non corretta potrebbero essere vulnerabili. IceWarp mette a disposizione pacchetti PHP aggiornati per le versioni supportate. Si raccomanda di applicare quanto prima la patch corrispondente alla propria versione di IceWarp e al sistema operativo.

Versioni interessate e patch disponibili

Versione IceWarpPHP inclusoDownload disponibili / sistemi operativi
EPOS Update 3 (14.3.0.x)PHP 8.4Windows – RedHat 8 – RedHat 9
EPOS Update 2 (14.2.0.x)PHP 8.2Windows – RedHat 7 – RedHat 8 – RedHat 9
EPOS Update 1 (14.1.0.x)PHP 8.2Windows – RedHat 7 – RedHat 8 – RedHat 9
EPOS (14.0.0.x)PHP 7.3Windows – RedHat 7 – RedHat 8
Deep Castle 2 Update 3 (13.0.3.x)PHP 7.3Windows – RedHat 7 – RedHat 8
Versioni precedentiVariabileVersioni obsolete, discontinuate e affette da altre vulnerabilità. È fortemente raccomandato l’aggiornamento a una versione recente supportata.
Solo per mitigazione parziale delle vulnerabilità in oggetto, vedere il paragrafo “Versioni precedenti” più sotto.

Installazione della versione PHP corretta

Passaggio 1 — Arrestare il servizio IceWarp Control

Windows (Prompt dei comandi o PowerShell, come amministratore): net stop "IceWarpControl"
Linux: /opt/icewarp/icewarpd.sh --stop control

Passaggio 2 — Eseguire il backup della cartella PHP esistente

Windows: rinominare la directory php in php-bak
Linux: mv /opt/icewarp/php /opt/icewarp/php-bak

Passaggio 3 — Distribuire la cartella PHP aggiornata

Copiare la directory php estratta dal pacchetto corretto in [icewarp-installdir]/php/.

Passaggio 4 — Ripristinare i file di configurazione

Copiare php.ini e php.user.ini da php-bak/ alla nuova cartella php/

Passaggio 5 — Correggere i permessi (solo Linux)

Eseguire chown sulla nuova cartella php, in modo che proprietario e gruppo corrispondano a quelli dell’installazione IceWarp (per esempio: chown -R icewarp:icewarp /opt/icewarp/php).

Passaggio 6 — Riavviare il servizio IceWarp Control

Windows: net start "IceWarpControl"
Linux: /opt/icewarp/icewarpd.sh --start control

Passaggio 7 — Mitigazione della vulnerabilità CVE-2026-115560

Per questa vulnerabilità recentemente divulgata, applicare la seguente configurazione in php.ini:

  1. Eseguire una copia di sicurezza del file php.ini nella directory /icewarp/php/.
  2. Aprire php.ini con un editor di testo.
  3. Individuare la direttiva session.upload_progress.enabled; se è preceduta da un punto e virgola (;), rimuoverlo.
  4. Impostare session.upload_progress.enabled = 0
  5. (Facoltativo) Nella stessa directory, creare il file php.user.ini e inserirvi le righe:

    [PHP]
    session.upload_progress.enabled = 0

Correzione definitiva nelle prossime versioni

I pacchetti di installazione e aggiornamento di IceWarp Server presenti su questo sito (al momento versioni 14.3.0.13 e 13.0.3.13), così come quelli che verranno rilasciati successivamente, contengono già le correzioni per le vulnerabilità in oggetto.
Chi aggiorna o reinstalla con queste versioni o con le successive, non deve installare separatamente i pacchetti di patch.

Versioni precedenti

Le versioni di IceWarp Server precedenti alla 13.0.3 sono discontinuate e peraltro già soggette a gravi vulnerabilità di altro genere. Inoltre il progetto PHP non ha pubblicato una patch ufficiale per le versioni precedenti, quindi non sarebbe possibile in qualsiasi caso fornire un pacchetto corretto.
Per tutte le versioni prima della 13.0.3, pertanto, l’unica soluzione raccomandata è il tempestivo aggiornamento a una più recente, corretta e coperta dal supporto.
Solo come misura mitigante e parziale, NON sostitutiva delle correzioni ufficiali di PHP, si consigliano le seguenti impostazioni in php.ini:

session.upload_progress.enabled = 0
memory_limit = -1
post_max_size = 32M
upload_max_filesize = 32M
session.serialize_handler = php

ATTENZIONE: le modifiche sopra riportate limitano a 32 MB la dimensione massima dei file caricati nelle applicazioni web (es. documenti e allegati nel WebClient).

Applicazione delle misure di mitigazione

Modificare il file php.ini principale

  1. Eseguire una copia di sicurezza del file php.ini situato in /icewarp/php/.
  2. Aprire php.ini con un editor di testo.
  3. Individuare le direttive indicate sopra.
  4. Se una direttiva è commentata (inizia con un punto e virgola ;), rimuovere il punto e virgola.
  5. Impostare le direttive ai valori specificati.
  6. Riavviare il servizio IceWarp Control.

Creare il file di override php.user.ini

Nella stessa directory (/icewarp/php/), creare un file di testo denominato php.user.ini. Aggiungere le seguenti righe e salvare il file:

[PHP]
session.upload_progress.enabled = 0
memory_limit = -1
post_max_size = 32M
upload_max_filesize = 32M
session.serialize_handler = php

Se successivamente si passa a una versione corretta, è possibile ripristinare i valori originali delle impostazioni precedenti. La direttiva session.upload_progress.enabled = 0 deve invece rimanere presente nei file anche nella versione corretta.