Aggiornato al 23 ottobre 2026
Una vulnerabilità nel software che fa funzionare un sito può essere molto più seria di un problema nella singola pagina. È il caso delle due falle critiche di PHP rese pubbliche nell’ottobre 2026: in determinate condizioni permettono a un aggressore di eseguire codice sul server senza autenticarsi.
Le vulnerabilità sono identificate come CVE-2026-109618 e CVE-2026-109619. Entrambe hanno un punteggio di gravità CVSS 4.0 pari a 9,2 su 10. CERT-EU raccomanda di aggiornare immediatamente i sistemi interessati
Il problema è quindi serio. Per capire cosa fare, però, bisogna distinguere fra chi gestisce un sito o un server e chi utilizza semplicemente Internet.
Che cos’è PHP e perché questa notizia riguarda tanti siti
PHP è un linguaggio utilizzato sul server per elaborare richieste, interagire con database e generare pagine dinamiche. Il browser riceve il risultato di questo lavoro, normalmente sotto forma di HTML.
Una vulnerabilità di PHP riguarda quindi un componente dell’infrastruttura che serve il sito. Non significa che sul computer del visitatore sia comparso automaticamente un virus. L’NCSC britannico ha pubblicato un avviso specifico invitando le organizzazioni a individuare le installazioni PHP e aggiornarle.
La diffusione di PHP rende importante controllare anche applicazioni e prodotti che lo includono al proprio interno, non soltanto i server sui quali è stato installato esplicitamente dall’amministratore.
Che cosa possono permettere le due vulnerabilità
La conseguenza più grave è la Remote Code Execution, spesso abbreviata in RCE: l’esecuzione di codice scelto dall’attaccante su un sistema remoto.
Le due falle coinvolgono meccanismi interni di gestione della memoria e degli errori. La PHP Foundation distingue un problema legato all’esaurimento della memoria da un altro nel quale possono essere riutilizzati riferimenti a memoria già liberata.
La Foundation riferisce che sono state dimostrate possibilità di esecuzione remota di codice. Nel caso di Apache con mod_php, uno degli attacchi dimostrati può intervenire prima dell’esecuzione del codice dell’applicazione. Questo spiega perché non basta controllare soltanto il proprio sito o i suoi plugin.
Le conseguenze concrete dipendono dai privilegi del processo compromesso, dall’isolamento del servizio e dai dati accessibili. Una vulnerabilità critica non dimostra, da sola, che un determinato server sia già stato violato.
Quali versioni PHP contengono le correzioni
Le prime versioni correttive pubblicate il 21 ottobre 2026 sono queste:
| Ramo PHP | Versione che corregge le due vulnerabilità |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
Le installazioni precedenti di questi rami devono essere aggiornate o ricevere una correzione equivalente dal proprio fornitore. Anche PHP 8.1 e le versioni precedenti richiedono attenzione: sono rami fuori dal supporto ordinario del progetto PHP.
Attenzione ai pacchetti delle distribuzioni Linux
Il numero mostrato dal comando PHP non è sempre sufficiente per stabilire se un pacchetto sia vulnerabile.
Una distribuzione Linux o un fornitore di supporto può applicare la correzione mantenendo una versione di base precedente: è il cosiddetto backport. Occorre quindi verificare l’avviso di sicurezza e la revisione del pacchetto del proprio fornitore, evitando conclusioni basate soltanto sul confronto con la tabella.
Il progetto PHP segnala inoltre la disponibilità di correzioni minime nel codice sorgente per alcuni rami obsoleti. Questo intervento straordinario non equivale al ripristino del loro supporto ordinario.
Aggiornamento del 23 ottobre: un’ulteriore precauzione sulle sessioni
Il 23 ottobre 2026, PHP ha pubblicato un ulteriore avviso relativo alla funzione che monitora l’avanzamento dei caricamenti attraverso le sessioni.
Il progetto suggerisce temporaneamente di impostare:
session.upload_progress.enabled=0L’avviso riguarda una combinazione insolita di configurazione e codice applicativo: il programma deve cambiare durante l’esecuzione il sistema di serializzazione delle sessioni in un modo specifico. PHP identifica il problema aggiuntivo come CVE-2026-115560, con un avviso completo previsto insieme alla successiva versione correttiva.
Chi aveva già applicato questa impostazione come mitigazione deve mantenerla. La modifica va gestita nella configurazione del servizio e resa effettiva sui processi che servono le richieste. Questo avviso aggiuntivo non elimina la necessità di installare le patch del 21 ottobre.
Ho un sito WordPress: basta aggiornare plugin e tema?
Aggiornare WordPress, temi e plugin non dimostra che PHP sia stato aggiornato. Sono componenti differenti e il controllo deve includere la versione effettivamente utilizzata dal servizio web.
Se il sito è ospitato presso un provider, la strada più pratica è chiedere una conferma precisa:
La versione PHP utilizzata dal mio sito include le correzioni per CVE-2026-109618 e CVE-2026-109619? Avete valutato anche l’avviso PHP del 23 ottobre relativo a session.upload_progress?
Una risposta generica come “il server viene aggiornato regolarmente” è meno utile dell’indicazione del pacchetto corretto e della sua effettiva attivazione.
Chi gestisce un server deve verificare anche i processi attivi
Un controllo iniziale da terminale può essere:
php -vQuesto comando mostra però la versione CLI, cioè quella utilizzata da terminale. Il sito potrebbe essere servito da un’altra installazione o da una versione diversa di PHP-FPM.
La documentazione Laravel Forge richiama anche un altro punto: i processi PHP di lunga durata possono continuare a utilizzare il vecchio codice dopo l’aggiornamento dei pacchetti. Occorre quindi gestire il riavvio dei servizi e dei processi interessati e verificare il funzionamento delle applicazioni.
Forge precisa inoltre che, nel proprio ambiente, gli aggiornamenti automatici di sicurezza non aggiornano automaticamente PHP. È un esempio concreto del motivo per cui bisogna verificare il comportamento del sistema utilizzato, senza presumere che ogni componente sia già coperto.
Cosa fare se non si può aggiornare subito
La priorità è identificare le installazioni coinvolte, applicare le correzioni e controllare che siano effettivamente attive.
Se l’intervento non è immediatamente possibile, l’NCSC invita a valutare le mitigazioni ufficiali e, quando necessario, la temporanea disconnessione del servizio. Raccomanda inoltre di considerare eventuali segnali di compromissione e di controllare gli aggiornamenti dei prodotti di terze parti che incorporano PHP.
Le modifiche temporanee non vanno copiate senza valutarne gli effetti sull’applicazione. Per un sito aziendale, un negozio online o un servizio pubblico, la decisione deve coinvolgere chi amministra l’infrastruttura.
Chi naviga deve installare qualcosa?
Per il normale visitatore, l’intervento principale spetta al gestore del servizio. Non bisogna scaricare programmi pubblicizzati come strumenti per “riparare PHP” sul proprio computer.
Un sito temporaneamente irraggiungibile potrebbe essere in manutenzione preventiva: l’interruzione non dimostra necessariamente un attacco riuscito.
Conviene inoltre distinguere questa notizia dagli avvisi allarmistici che compaiono dentro alcune pagine web. Sul blog trovi una guida dedicata a cosa fare quando compaiono avvisi di virus in Chrome, un problema diverso che richiede controlli differenti.
Quanto è grave, quindi, la falla PHP?
La gravità è reale: le fonti ufficiali descrivono due vulnerabilità critiche e chiedono un aggiornamento urgente. Le correzioni per i rami supportati sono disponibili dal 21 ottobre, mentre l’avviso aggiuntivo del 23 ottobre richiede un’ulteriore verifica della configurazione.
Per chi gestisce un sito, la domanda concreta è: il PHP che elabora le richieste è stato corretto e i processi attivi sono stati aggiornati?
Per chi visita i siti, la notizia richiede attenzione alle comunicazioni dei servizi utilizzati, senza confondere una vulnerabilità del server con un’infezione automatica del proprio dispositivo.
Fonti ufficiali
Avvisi di sicurezza del progetto PHP
CERT-EU: Critical Vulnerabilities in PHP
PHP Foundation: rilascio di sicurezza del 21 ottobre 2026
Commenti
Posta un commento