MikroTik spegne per qualche ora i servizi web per una falla di PHP: RouterOS non è coinvolto

Che cosa ha annunciato MikroTik?

Stamattina alle 11:14 (ora italiana) MikroTik ha scritto sul suo forum, nella sezione Announcements, che PHP ha annunciato una vulnerabilità molto seria e che, in quel momento, la correzione non era ancora disponibile. Per questo MikroTik spegne tutti i servizi web potenzialmente vulnerabili finché non saranno sicuri, e avverte che per qualche ora alcuni account non funzioneranno. Precisa anche che il forum non usa PHP e resta aperto.

È una scelta prudente: invece di lasciare acceso un sito che potrebbe essere bucato, lo si spegne finché non è aggiornato.

I miei router MikroTik sono a rischio?

No. RouterOS non contiene PHP: WebFig, WinBox, l’API e gli altri servizi del router non sono scritti in PHP, e MikroTik non ha segnalato nessun problema sui router o su SwOS. L’annuncio riguarda solo i siti web dell’azienda.

Non serve aggiornare RouterOS né cambiare la configurazione per questa falla. Restano valide le regole di sempre: servizi di gestione mai esposti su internet, come spiego nell’howto Hardening di base.

Che cosa funziona ancora e che cosa no?

L’ho controllato alle 17 di oggi:

In pratica:

• aggiornare un router funziona: /system package update check-for-updates e poi install usano upgrade.mikrotik.com e download.mikrotik.com, che sono attivi;
• il manuale si consulta normalmente, anche dai link nei miei articoli;
• quello che passa dall’account su mikrotik.com può non funzionare finché il sito non torna: accesso all’area clienti e, probabilmente, le operazioni sulle licenze (per esempio quelle di CHR).

Se ti serve qualcosa dall’account, aspetta qualche ora e riprova: MikroTik ha parlato di un’interruzione temporanea.

Che cosa sono le vulnerabilità di PHP?

Sono due, pubblicate oggi:

• CVE-2026-109618, «RCE via OOM corruption»: quando PHP finisce la memoria (out of memory) interrompe la richiesta in un modo che, in certi casi, lascia dati non inizializzati; la pulizia successiva li legge e questo può portare all’esecuzione di codice da remoto;
• CVE-2026-109619, «RCE via stale global state»: alcune variabili globali di PHP possono continuare a puntare a memoria già liberata da una richiesta precedente; anche qui l’esito può essere l’esecuzione di codice da remoto.

Entrambe hanno CVSS 4.0 pari a 9.2, gravità critica: si attaccano dalla rete e non servono credenziali, anche se lo sfruttamento non è banale (complessità alta). Sono colpite tutte le versioni di PHP ancora supportate:

Al momento dell’annuncio di MikroTik la correzione non c’era ancora; ora le versioni corrette sono pubblicate dal progetto PHP. Le distribuzioni Linux e i repository dei pacchetti potrebbero metterci ancora qualche ora.

Che cosa devo fare se uso PHP?

Se hai server con PHP esposti su internet, questa falla ti riguarda direttamente. Nel mondo MikroTik capita spesso: pannelli di gestione hotspot, sistemi di fatturazione per WISP, portali captive esterni, oltre ai normali siti WordPress. Molti di questi parlano con i router via API: se il server viene bucato, l’attaccante si ritrova anche le credenziali API dei tuoi router.

1. Aggiorna PHP alla versione corretta del tuo ramo (tabella sopra) appena il pacchetto è disponibile per il tuo sistema, e riavvia PHP-FPM o il server web.
2. Finché non puoi aggiornare, valuta come ha fatto MikroTik: se un pannello non serve a tutti, limitane l’accesso agli indirizzi che lo usano davvero, o spegnilo per qualche ora.
3. Se un pannello PHP usa un utente API sul router, controlla che quell’utente abbia solo i permessi che servono e un address= limitato all’IP del server (in /user).

Dove trovo le fonti?

• L’annuncio di MikroTik sul forum: PHP vulnerability and mikrotik services
• Gli avvisi del progetto PHP: GHSA-w8hw-w9fx-j79w (CVE-2026-109618) e GHSA-6wmf-4rv5-p3rp (CVE-2026-109619)