Guida tecnica · 25 ottobre 2026

Cosa è successo

Il 21 ottobre 2026 sono state rese pubbliche due vulnerabilità critiche nel core di PHP (CVE-2026-109618 e CVE-2026-109619), con un punteggio di gravità 9,2 su 10. Riguardano qualunque installazione PHP che serve richieste web: PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP, LiteSpeed. Il rilascio delle patch è stato anticipato in emergenza dopo che alcune informazioni non verificate avevano iniziato a circolare sui social.

Quali versioni sono a rischio

Qualunque versione precedente a queste è da considerare vulnerabile:

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

Per i rami 7.4, 8.0 e 8.1, non più supportati ufficialmente, sono stati rilasciati backport minimi: vanno verificati con il fornitore del sistema operativo o dell'hosting, perché i numeri di versione variano da distribuzione a distribuzione. Non esiste una mitigazione di configurazione: l'unica soluzione completa è l'aggiornamento.

Come verificare in due minuti

1. Controlla la versione in esecuzione

Attenzione: la CLI può avere una versione diversa da quella usata dal web server. Controlla anche il binario del servizio, ad esempio:

2. Controlla i pacchetti installati

3. Confronta e, dopo l'update, riverifica

Se la versione è inferiore a quelle elencate sopra, o appartiene a un ramo non supportato senza backport confermato, il sistema è a rischio. Dopo l'aggiornamento, lancia di nuovo php -v per confermare, e ricostruisci anche le immagini dei container, non solo gli host.

Se sei vulnerabile

Individua tutti i server, container e hosting che usano PHP — inclusi quelli gestiti da fornitori terzi — e applica la patch per il tuo ramo. Se usi una versione ormai fuori supporto, serve un piano di migrazione: nel frattempo limita l'esposizione del sistema il più possibile.

Se non hai il tempo o le risorse interne per occupartene, è esattamente il tipo di intervento che faccio.