Aggiornamenti di sicurezza critici per PHP: rilasciate nuove versioni in emergenza

Admin - 23 Ottobre 2026 - Tempo di lettura: 10 minuti

Nelle ultime ore la community di PHP si sta mobilitando per affrontare una delle notizie più rilevanti dell'anno in materia di sicurezza web. Il PHP Core Team ha rilasciato aggiornamenti di sicurezza urgenti per correggere due gravi vulnerabilità di tipo Remote Code Execution (RCE).

Se gestisci server web o applicazioni basate su PHP (inclusi i principali CMS come WordPress, Drupal o framework come Laravel), ecco un riassunto di cosa sta succedendo e delle azioni da intraprendere subito.

🔍 Cosa sta succedendo?

Il team di sviluppo di PHP ha rilasciato le versioni di manutenzione straordinaria (8.5.12, 8.4.27, 8.3.36 e 8.2.35) per risolvere due falle di sicurezza critiche:

1. CVE-2026-109618 (RCE tramite Memory Corruption): un problema nella gestione degli errori di memoria insufficiente (Out-of-Memory) durante la pulizia delle richieste.

2. CVE-2026-109619 (RCE tramite Stale Global State): una vulnerabilità legata allo stato globale residuo gestito dai worker che può consentire l'esecuzione di codice non autorizzato prima ancora dell'avvio dell'applicazione vera e propria.

I CERT europei ed internazionali hanno classificato il livello di rischio come alto/critico (CVSS ~9.2) in quanto l'attacco può essere eseguito da remoto senza necessità di autenticazione.

🛠️ Chi è interessato e quali configurazioni sono a rischio?

La vulnerabilità colpisce la maggior parte dei runtime web PHP:

• PHP-FPM, FrankenPHP, LiteSpeed, e Apache (in particolare le installazioni con mod_php).

• Tutte le versioni attive della serie 8.2, 8.3, 8.4 e 8.5 antecedenti alla patch rilasciata il 21-22 ottobre.

• Le versioni non più supportate (End-of-Life, come PHP 7.x e 8.1) non riceveranno aggiornamenti ufficiali, motivo per cui è fondamentale passare a versioni supportate.

🚀 Cosa fare subito: la checklist per il tuo server

1. Aggiorna immediatamente i pacchetti PHP: Verifica la versione in uso e aggiorna all'ultima patch disponibile fornita dal tuo provider o dalla tua distribuzione Linux (apt upgrade, dnf update, o tramite la dashboard del tuo hosting).

2. Svuota le cache dei container / riavvia i servizi:Dopo l'aggiornamento, assicurati di riavviare i servizi PHP-FPM o i container Docker/FrankenPHP interessati.

3. Verifica le versioni Legacy:Se utilizzi ancora versioni vecchie di PHP, considera l'aggiornamento a un ramo supportato (come PHP 8.4 o 8.5) o la migrazione verso provider che offrono supporto esteso (LTS).

💬 E voi avete già aggiornato i vostri server? Fatecelo sapere nei commenti qui sotto.