Vulnerabilità
critiche nel componente PHP (CVE-2026-109618, CVE-2026-109619)
| Data di prima pubblicazione | 23/10/2026 |
| Ultimo aggiornamento | 27/10/2026 |
| Versione dell’avviso | 1.1 |
| Gravità | Critica (CVSS v4.0 9.2) |
| Stato | CamJ: firmware corretto disponibile. CamX: correzione in preparazione. Misure di protezione da applicare subito |
In sintesi
Il 21 ottobre 2026 il progetto PHP ha reso pubbliche e corretto due
vulnerabilità critiche (CVE-2026-109618, CVE-2026-109619), note come
“PHP2Shell”, che possono permettere l’esecuzione di codice da remoto
senza credenziali. Le telecamere Selea delle serie CamJ e CamX usano PHP
nell’interfaccia web e sono interessate (elenco dei modelli sotto).
Per le telecamere CamJ è disponibile il firmware corretto
261022125555; per le CamX la correzione è in preparazione. Fino
all’aggiornamento è necessario che l’interfaccia web delle telecamere
non sia raggiungibile da Internet né da sistemi non
autorizzati.
I partner distributori e, tramite loro, installatori e clienti
ricevono indicazioni dettagliate.
Prodotti interessati
| Serie | Modelli | Stato della correzione |
|---|---|---|
| CamJ | J-T306, J-T506, J-T560, J-T706 (anche Targa 706 ILB), J-T760, J-T806, J-T860, J-T950, J-T960, J-IZERO2, J-IZERO3 |
corretto nel firmware 261022125555, disponibile dal 26/10/2026 nell’area di supporto Selea: SCARICA IL FIX |
| CamX | X-T205, X-T206, X-T504, X-T512, X-T704, X-T710INOX (Targa INOX), X-T750, X-T804, X-T805, X-T806, X-T850, X-TSE (Targa Semplice), X-OCRBOX, X-TARGASCANNER, E-IZERO (anche iZero BOX), E-OCRBOX |
correzione in preparazione; questo avviso sarà aggiornato alla disponibilità |
Sono interessati anche i modelli non più in produzione elencati
sopra. Sulla base delle verifiche tecniche sinora effettuate, i modelli
interessati risultano essere quelli sopra indicati.
Cosa fare subito
- Non rendere le telecamere raggiungibili da
Internet: eliminare eventuali inoltri di porta verso le
telecamere sul router; per l’accesso remoto usare una VPN. Se non è
possibile subito, scollegare temporaneamente le telecamere da Internet
fino all’aggiornamento. - Limitare l’accesso all’interfaccia web delle
telecamere ai soli sistemi autorizzati (videoregistratori, software di
gestione, postazioni dei tecnici). - CamJ: installare il firmware 261022125555, dalla
rete locale o via VPN. La versione installata si legge nell’interfaccia
web, in Setup → Sistema → Informazioni → Firmware. - CamX: installare l’aggiornamento appena
disponibile; fino ad allora le misure 1 e 2 sono essenziali.
Cambiare le password è sempre una buona pratica, ma non protegge da
queste vulnerabilità.
Per applicare le misure e per l’aggiornamento rivolgersi al proprio
installatore o distributore.
Per informazioni: assistenza@selea.com.
Stato di sfruttamento
Fornitori di sicurezza segnalano tentativi di sfruttamento di queste
vulnerabilità su Internet contro sistemi che usano PHP. Allo stato delle
conoscenze di Selea non risultano segnalazioni di compromissione di
prodotti Selea. Selea segue la situazione e aggiornerà questo
avviso.
Segnalazione di
vulnerabilità
Per segnalare problemi di sicurezza nei prodotti Selea:
assistenza@selea.com.
Riferimenti
- PHP — annuncio dei rilasci di sicurezza del 21 ottobre 2026:
https://www.php.net/archive/2026.php - Avviso PHP GHSA-w8hw-w9fx-j79w (CVE-2026-109618):
https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w - Avviso PHP GHSA-6wmf-4rv5-p3rp (CVE-2026-109619):
https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp
Cronologia dell’avviso
| Data | Versione | Modifica |
|---|---|---|
| 23/10/2026 | 1.0 | Prima pubblicazione |
| 27/10/2026 | 1.1 | Disponibile il firmware CamJ 261022125555; precisati i prodotti interessati e lo stato di sfruttamento |