PHP pubblicherà il 21 ottobre alle 14:00 UTC un aggiornamento di sicurezza straordinario per due vulnerabilità critiche, valutate 9,2 su CVSS v4.0. I dettagli tecnici non sono ancora pubblici, ma ricercatori di watchTowr riferiscono che le falle permetterebbero l’esecuzione di codice da remoto.
La patch riguarderà i rami PHP ancora supportati, dalla versione 8.2 alla 8.5. Non risultano al momento casi di sfruttamento attivo né codice di exploit pubblico, tuttavia amministratori e fornitori di hosting sono invitati a preparare gli aggiornamenti.
Un rilascio fuori programma dopo la fuga di notizie
L’avviso arriva dopo la diffusione di informazioni non ufficiali sulle due vulnerabilità. Un post pubblicato il 20 ottobre su Hacker News aveva parlato di falle RCE in PHP, di un punteggio CVSS 10,0 e di un impatto potenzialmente esteso alle versioni a partire da PHP 5. Quelle indicazioni non sono però confermate dall’avviso di PHP.
watchTowr ha dichiarato che le informazioni trapelate erano reali e soggette a embargo, senza fornire ulteriori elementi tecnici. PHP ha poi fissato un rilascio anticipato rispetto alla data circolata inizialmente e ha precisato che avrebbe potuto intervenire anche prima nel caso fossero emersi dettagli pubblici o prove di sfruttamento in corso.
I ricercatori hanno iniziato a chiamare la coppia di falle php2shell, ma non si tratta di una denominazione ufficiale del progetto PHP. Anche gli identificativi CVE circolati nella fuga di notizie, CVE-2026-109618 e CVE-2026-109619, non sono stati citati nell’avviso di PHP.
Quali versioni riceveranno la correzione
Le correzioni saranno disponibili per PHP 8.2, 8.3, 8.4 e 8.5, cioè i quattro rami ancora mantenuti. Le versioni 8.2 e 8.3 ricevono aggiornamenti di sola sicurezza, mentre 8.4 e 8.5 sono in supporto attivo.
Le installazioni basate su PHP 8.1 o precedente sono invece fuori supporto e non riceveranno patch dal progetto. Questo comprende PHP 8.0, le versioni 7.x e 5.x. Se l’ambito reale delle vulnerabilità dovesse includerle, gli amministratori dovranno aggiornare o ridurre l’esposizione dei sistemi.
Non è ancora noto quali componenti siano coinvolti, se l’attacco richieda una particolare configurazione, una modalità di esecuzione di PHP o un accesso autenticato. PHP ha rimandato queste informazioni, insieme alle versioni effettivamente interessate e a quelle corrette, al momento della pubblicazione dell’update.
Cosa preparare prima dell’aggiornamento
La priorità è identificare tutte le installazioni PHP, comprese quelle integrate in appliance, software Windows, pannelli di controllo come cPanel e Plesk o ambienti gestiti dal provider. I sistemi esposti direttamente su Internet dovrebbero essere i primi a ricevere la patch quando sarà disponibile.
Conviene anche verificare se la distribuzione Linux o l’hosting adottato distribuiscano pacchetti con correzioni retroportate. Per i server fermi a una release non più supportata, l’alternativa indicata dalle fonti è l’aggiornamento oppure l’isolamento dall’accesso pubblico, per esempio dietro VPN o web application firewall, finché non sarà possibile intervenire.
In assenza di una mitigazione ufficiale, il monitoraggio può aiutare a individuare segnali anomali. In particolare, meritano attenzione processi PHP come php-fpm o php-cgi che avviano shell, interpreti o strumenti di download. Se si rileva un’attività sospetta, le indicazioni riportate suggeriscono di isolare il server, conservare i log web e PHP e controllare la presenza di web shell, file nuovi nella directory pubblica, cron job, attività pianificate o account aggiunti.
Nessun exploit noto, ma la finestra è delicata
Huntress non aveva osservato sfruttamenti nei propri ambienti partner al 20 ottobre, non aveva riprodotto una proof of concept e non conosceva exploit pubblici. Anche watchTowr indicava assenza di sfruttamento segnalato al 21 ottobre; le vulnerabilità non risultavano nel catalogo CISA Known Exploited Vulnerabilities.
Questo non elimina la necessità di intervenire rapidamente. La pubblicazione dei dettagli tecnici può rendere più semplice analizzare le falle e cercare sistemi vulnerabili. Come riferimento, dopo la divulgazione di CVE-2024-4577, una falla PHP in modalità CGI su Windows, Akamai aveva rilevato tentativi di attacco contro i propri honeypot entro 24 ore.
FAQ
Quando arriverà l’aggiornamento PHP?
PHP ha programmato il rilascio straordinario per il 21 ottobre alle 14:00 UTC. L’orario locale dipende dal fuso del server o dell’amministratore che dovrà applicare l’aggiornamento.
Le due vulnerabilità colpiscono tutte le versioni di PHP?
No, non è confermato. La tesi di un impatto da PHP 5 in avanti proviene dalla fuga di notizie; PHP deve ancora comunicare l’elenco completo delle versioni coinvolte.
Esiste già una mitigazione ufficiale?
No. PHP non ha pubblicato workaround. Per i sistemi non aggiornabili, le fonti citano l’isolamento delle applicazioni esposte pubblicamente come misura temporanea.
Considerazioni finali
La parte più preoccupante non è soltanto il punteggio di gravità, ma il fatto che le informazioni decisive siano ancora sotto embargo mentre la notizia è già circolata. PHP ha fatto bene a fissare un rilascio straordinario e a non confermare dettagli che potrebbero confondere amministratori e utenti.
La distinzione tra rami supportati e versioni fuori manutenzione è il punto concreto che pesa di più: aggiornare PHP non è una formalità rinviabile, soprattutto per i server raggiungibili da Internet. Le installazioni ferme a PHP 8.1 o precedenti devono essere trattate come una priorità di esposizione finché non sarà chiarito l’ambito delle falle.
