Il CSIRT Italia segnala la disponibilità di aggiornamenti e misure di mitigazione per le vulnerabilità critiche PHP2Shell che interessano IceWarp Server, la piattaforma per la posta elettronica aziendale e la collaborazione, negli ambienti Windows e Linux. Le tre vulnerabilità, identificate come CVE-2026-109618, CVE-2026-109619 e CVE-2026-115560, riguardano l’interprete PHP integrato nel prodotto e potrebbero consentire a un attaccante remoto non autenticato di eseguire codice arbitrario sui sistemi vulnerabili.
Il rischio riguarda le installazioni on-premises che non hanno applicato gli aggiornamenti necessari. Il fornitore ha dichiarato di aver già corretto i propri ambienti cloud gestiti direttamente e di non essere a conoscenza di attività di sfruttamento specificamente rivolte ai prodotti IceWarp. Tuttavia, la disponibilità pubblica di proof of concept (PoC) e i tentativi di sfruttamento osservati a livello globale contro servizi PHP esposti rendono particolarmente importante intervenire sui sistemi non aggiornati.
Le versioni interessate sono IceWarp Server 14.3.0.x, 14.2.0.x, 14.1.0.x, 14.0.0.x e 13.0.3.x, se prive dei pacchetti correttivi per il componente PHP. Anche la versione 14.3.0.13, rilasciata il 22 ottobre 2026, richiede l’applicazione manuale della patch PHP.
Il CSIRT raccomanda di installare tempestivamente i pacchetti di aggiornamento messi a disposizione dal fornitore per la versione e il sistema operativo in uso. Per mitigare la CVE-2026-115560, anche dopo l’aggiornamento PHP che corregge le CVE-2026-109618 e CVE-2026-109619, è necessario impostare il parametro session.upload_progress.enabled=0 nei file php.ini e nell’eventuale php.user.ini, quindi riavviare il modulo IceWarpControl.
Per le versioni meno recenti per cui non sono disponibili pacchetti correttivi, sono indicate ulteriori modifiche ai parametri di configurazione PHP. Queste misure costituiscono tuttavia una mitigazione parziale e limitano la dimensione degli upload a 32 MB; è quindi raccomandato migrare a una versione aggiornata.
Le organizzazioni interessate sono invitate a monitorare i futuri rilasci di IceWarp e ad applicare le correzioni definitive non appena disponibili, mantenendo la mitigazione specifica per la CVE-2026-115560 fino a ulteriori indicazioni.
Le istruzioni operative e i dettagli sulle versioni coinvolte sono disponibili nel bollettino del CSIRT Italia.
