Il 21 ottobre 2026 il team ufficiale di PHP ha pubblicato un avviso di sicurezza relativo a due vulnerabilità critiche che possono consentire l'esecuzione di codice da remoto senza autenticazione (Remote Code Execution, RCE). I problemi sono identificati come CVE-2026-109618 e CVE-2026-109619 e interessano le installazioni PHP che gestiscono richieste web.
Secondo l'annuncio ufficiale, il rischio è particolarmente rilevante per gli ambienti che utilizzano Apache con mod_php, per i quali è stato dimostrato uno scenario di attacco attivabile tramite una richiesta HTTP non autenticata, prima dell'esecuzione del codice applicativo. Il team PHP raccomanda di aggiornare tempestivamente le installazioni interessate.
Fonti ufficiali: annuncio di sicurezza PHP del 21 ottobre 2026 e avvisi di sicurezza del progetto PHP su GitHub.
Quali sono le vulnerabilità PHP individuate?
CVE-2026-109618: RCE tramite gestione degli errori di memoria
La prima vulnerabilità riguarda la gestione delle condizioni di esaurimento della memoria, note come out-of-memory (OOM). In determinate circostanze, un errore di allocazione può interrompere l'elaborazione di una richiesta mentre alcuni dati interni di PHP sono ancora inizializzati solo parzialmente. Durante la successiva pulizia della richiesta, questi dati possono essere trattati in modo non corretto, aprendo una possibile strada all'esecuzione di codice.
La descrizione tecnica completa è disponibile nell'avviso ufficiale relativo alla CVE-2026-109618.
CVE-2026-109619: RCE tramite stato globale non aggiornato
La seconda vulnerabilità riguarda la persistenza di uno stato interno associato a una richiesta anche dopo che la memoria su cui si basava è stata liberata. In determinate condizioni, una richiesta successiva gestita dallo stesso processo può utilizzare questo stato prima che venga inizializzato correttamente, creando un possibile percorso verso l'esecuzione di codice da remoto.
L'avviso tecnico è consultabile nella documentazione ufficiale della CVE-2026-109619.
Quali installazioni PHP sono a rischio?
L'avviso del team PHP riguarda le installazioni che gestiscono richieste web, incluse quelle che utilizzano PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed. Il rischio concreto dipende dall'ambiente, dalla configurazione e dalle modalità con cui PHP viene eseguito; non è quindi corretto affermare che ogni sito PHP sia esposto allo stesso modo.
Le versioni correttive pubblicate il 21 ottobre 2026 sono:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Per le distribuzioni Linux e i fornitori che mantengono versioni a lungo termine (LTS), le correzioni possono essere distribuite attraverso pacchetti specifici o backport. È quindi necessario verificare gli aggiornamenti disponibili presso il proprio fornitore, senza basarsi esclusivamente sul numero di versione mostrato da PHP.
PHP 8.1 e le versioni precedenti non ricevono più aggiornamenti direttamente dal progetto PHP. Alcuni fornitori possono distribuire correzioni retroportate: chi utilizza queste versioni dovrebbe verificarne la disponibilità e pianificare il passaggio a una versione supportata.
Per verificare i pacchetti correttivi, consultare la pagina ufficiale dei download PHP e l'avviso di sicurezza del 21 ottobre 2026.
Quali rischi comportano per siti web e applicazioni aziendali?
Una vulnerabilità che consente l'esecuzione di codice da remoto può compromettere la riservatezza, l'integrità e la disponibilità di un sistema. A seconda dei privilegi del processo PHP e dell'architettura del server, un attacco riuscito potrebbe consentire di interferire con l'applicazione, accedere a informazioni disponibili al processo o compromettere altri componenti dell'infrastruttura.
Le conseguenze potenziali includono:
- esecuzione di operazioni non autorizzate sul server;
- accesso o manipolazione dei dati raggiungibili dal processo PHP;
- interruzioni del servizio e problemi di disponibilità;
- ulteriori compromissioni, in funzione dei permessi e dell'isolamento dell'ambiente.
Questi sono impatti possibili delle vulnerabilità RCE, non la prova che ogni installazione vulnerabile sia stata compromessa. La valutazione del rischio deve tenere conto della configurazione effettiva, dei privilegi del processo e dell'esposizione del servizio.
Come proteggere un server PHP
1. Aggiornare PHP alla versione corretta
La misura prioritaria indicata dal team PHP è installare una versione correttiva o il pacchetto aggiornato distribuito dal proprio fornitore. Prima di intervenire in produzione, è opportuno verificare la versione effettivamente utilizzata dal sito, poiché quella della riga di comando può essere diversa da quella configurata per il server web o PHP-FPM.
Un aggiornamento dovrebbe essere accompagnato da un backup verificato, da test di compatibilità in un ambiente di staging e da controlli successivi al rilascio. Se PHP è gestito da un hosting o da una distribuzione Linux, occorre seguire la procedura di aggiornamento del fornitore.
2. Verificare configurazione e modalità di esecuzione
Identificare il sistema che esegue PHP, i relativi processi e le configurazioni applicate. Prestare particolare attenzione agli ambienti che utilizzano Apache con mod_php, indicati dal team PHP come quelli a rischio più elevato per queste vulnerabilità.
Non presumere che una modifica generica a php.ini risolva il problema: le configurazioni efficaci possono variare in base al processo e al punto in cui vengono applicate.
3. Applicare eventuali mitigazioni temporanee con cautela
Se non è possibile aggiornare immediatamente, l'avviso ufficiale descrive alcune misure che possono ridurre l'esposizione a specifici percorsi di attacco, fra cui impostazioni relative al limite di memoria, alla dimensione delle richieste e al progresso degli upload di sessione. Questi interventi richiedono una valutazione tecnica dell'ambiente e possono avere effetti sul funzionamento dell'applicazione.
Le mitigazioni non sostituiscono l'aggiornamento e non garantiscono che l'installazione sia sicura. Prima di modificare i parametri di produzione, consultare le istruzioni dettagliate negli avvisi tecnici ufficiali e verificare la compatibilità con l'applicazione.
4. Controllare log e segnali di compromissione
Dopo l'aggiornamento, esaminare i log del server web, di PHP e dei sistemi di monitoraggio per individuare richieste anomale, errori insoliti o attività non riconosciute. Se esistono indizi di compromissione, l'installazione della patch da sola non è sufficiente: occorre avviare una verifica dell'incidente, controllare credenziali e segreti accessibili al processo PHP e valutare le misure di contenimento.
Un ulteriore aggiornamento per Windows del 26 ottobre 2026
Il 26 ottobre 2026 il team PHP ha inoltre annunciato build aggiornate per Windows contenenti Brotli 1.2.1, che corregge la vulnerabilità CVE-2026-111497 nel processo di decompressione. Nelle build PHP per Windows, il componente vulnerabile può essere raggiunto tramite l'estensione cURL quando è abilitata la decompressione automatica delle risposte HTTP.
Si tratta di un problema distinto dalle due vulnerabilità RCE annunciate il 21 ottobre. Gli utenti di PHP su Windows dovrebbero verificare anche questo aggiornamento e seguire le indicazioni del comunicato ufficiale sulle build Windows aggiornate. La disponibilità di una build aggiornata dipende dalla piattaforma e dal pacchetto utilizzato.
Conclusioni
Le vulnerabilità PHP CVE-2026-109618 e CVE-2026-109619, annunciate il 21 ottobre 2026, evidenziano l'importanza di mantenere aggiornati il runtime e i componenti che gestiscono le richieste web. Le versioni correttive pubblicate dal progetto PHP rappresentano il riferimento per pianificare gli interventi, mentre eventuali mitigazioni temporanee devono essere applicate seguendo le indicazioni ufficiali e senza considerarle una soluzione definitiva.
Per amministratori di sistema, sviluppatori e aziende, il percorso consigliato è verificare l'ambiente effettivo, applicare gli aggiornamenti distribuiti dal progetto PHP o dal proprio fornitore, testare il funzionamento dell'applicazione e monitorare eventuali anomalie. Le informazioni tecniche possono essere approfondite attraverso le fonti ufficiali riportate di seguito.
