PHP: due vulnerabilità critiche, patch attese il 21 ottobre

Il 20 ottobre 2026 il progetto PHP ha annunciato una release di sicurezza per due vulnerabilità critiche, CVE-2026-109618 e CVE-2026-109619. Lo riporta l’avviso 2026-018 del CERT-EU, il servizio di cybersicurezza delle istituzioni, degli organi e delle agenzie dell’Unione europea. Secondo il CERT-EU, che cita l’annuncio sul sito di PHP e alcune segnalazioni non ufficiali, le due falle potrebbero portare all’esecuzione di codice da remoto (RCE).

La release è programmata per il 21 ottobre 2026 alle 14:00 UTC (le 16:00 in Italia). Fino a quel momento non ci sono dettagli tecnici pubblici: questo articolo riporta quello che si sa oggi e come prepararsi, e va letto insieme alle note di rilascio di PHP quando saranno pubblicate.

Cosa si sa

• CVE: CVE-2026-109618 e CVE-2026-109619.
• Gravità: punteggio CVSS 9.2 per entrambe. Secondo il CERT-EU questi punteggi indicano la possibilità di esecuzione di codice da remoto senza autenticazione.
• Versioni colpite: secondo il CERT-EU, che cita una fonte non ufficiale, le vulnerabilità potrebbero riguardare tutte le versioni di PHP a partire da PHP 5. Il dato non risulta confermato dal progetto PHP.
• Dettagli tecnici: nessuno. Non si conoscono il componente colpito, il vettore d’attacco preciso né le condizioni necessarie (estensioni, configurazioni, modalità di esecuzione).
• Sfruttamento: l’avviso non parla di sfruttamento attivo né di exploit pubblici, e non riporta indicatori di compromissione.

L’avviso del CERT-EU è l’unica fonte di questo articolo: tutte le informazioni sono attribuite a lui e alle fonti che cita.

Perché conta per le aziende europee e italiane

PHP è il linguaggio lato server di moltissimi siti e applicazioni web: CMS, negozi online, portali per clienti e fornitori, gestionali con interfaccia web. Gira su server dedicati, in hosting condiviso e dentro immagini di container, spesso gestito da fornitori diversi.

Per questo il CERT-EU invita a prepararsi prima della pubblicazione delle correzioni, così da poter aggiornare appena saranno disponibili. Fino ad allora nessuno può dire con certezza quali installazioni siano davvero vulnerabili: l’inventario serve proprio a non perdere tempo dopo.

Per i soggetti NIS2 il caso rientra nella gestione delle vulnerabilità: conviene documentare l’inventario dei sistemi con PHP, la priorità assegnata e i tempi di aggiornamento. Un eventuale incidente significativo va valutato ai fini della notifica al CSIRT Italia dell’ACN. Nella sanità PHP può essere alla base di portali per i pazienti e servizi di prenotazione online: vanno inclusi nell’inventario.

Cosa fare subito

Il CERT-EU raccomanda di individuare le applicazioni basate su PHP e di prepararsi ad aggiornarle appena saranno disponibili le versioni corrette. Dove l’aggiornamento immediato non è possibile, consiglia di valutare l’isolamento dalle reti pubbliche delle applicazioni esposte su Internet fino all’applicazione della correzione.

In pratica:

1. Fai l’inventario di dove gira PHP: server web, container, hosting, applicazioni di terzi. php -v mostra la versione dell’interprete da riga di comando; quella usata dal server web (PHP-FPM o modulo del server) può essere diversa e va controllata a parte.
2. Dai la priorità ai sistemi esposti su Internet, a partire dalle applicazioni raggiungibili senza autenticazione.
3. Prepara la finestra di manutenzione per il 21 ottobre dopo le 16:00, con prove e piano per tornare indietro.
4. Capisci da chi arriva l’aggiornamento: se usi i pacchetti della distribuzione Linux, un pannello di hosting o immagini di container, le versioni corrette arrivano da loro, anche in tempi diversi. Segui i loro avvisi oltre a quello di PHP.
5. Controlla quali rami sono ancora supportati sulla pagina delle versioni supportate di php.net e, per quelli fuori supporto, verifica con il progetto o con il tuo fornitore se è prevista una correzione.
6. Se non puoi aggiornare subito, valuta come suggerisce il CERT-EU di togliere le applicazioni dall’esposizione pubblica, per esempio limitando l’accesso alla VPN o a indirizzi autorizzati.
7. Dopo la release, leggi le note di sicurezza di PHP per sapere quali componenti e configurazioni sono colpiti, aggiorna e controlla i log dei server web per richieste anomale.

Come aiuta ARXDOME

L’inventario di ARX Sentry elenca software, processi e porte di ogni server con l’agent: aiuta a trovare dove sono installati PHP e PHP-FPM. ARX Shield mostra le vulnerabilità aperte per macchina e per pacchetto, ARX Expose i servizi pubblici della tua azienda e i prodotti riconosciuti: insieme aiutano a decidere da quali server partire.

Ultimo aggiornamento: 20 ottobre 2026