PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35: patch per due RCE critiche non autenticate

Il progetto PHP ha rilasciato il 21 ottobre 2026 le versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35 per correggere due vulnerabilità critiche, CVE-2026-109618 e CVE-2026-109619, che permettono l'esecuzione di codice da remoto senza autenticazione. Chi gestisce server web su PHP deve aggiornare subito: la segnalazione arriva da Wordfence, ma il testo tecnico completo è nell'avviso ufficiale pubblicato su php.net.

Cosa dicono le due CVE

Secondo l'avviso ufficiale di php.net, PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35 correggono due vulnerabilità critiche che possono consentire l'esecuzione di codice remoto senza autenticazione. Il progetto indica che sono a rischio tutte le installazioni PHP che servono richieste web, incluse PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed, e che il rischio è considerato più alto per mod_php, con un exploit dimostrato in cui una richiesta non autenticata può innescare l'attacco prima che venga eseguito qualsiasi codice applicativo.

Le due falle, come descritte da PHP: la prima, CVE-2026-109618, è una RCE via corruzione OOM: la gestione dell'esaurimento memoria può interrompere PHP mentre i dati interni della richiesta sono solo parzialmente inizializzati, e la pulizia successiva può trattare quei dati non validi come validi. La seconda, CVE-2026-109619, è una RCE via stato globale residuo: lo stato interno associato a una richiesta può sopravvivere dopo che la memoria sottostante è stata liberata, e una richiesta successiva gestita dallo stesso worker può usare quello stato residuo.

Cosa fare

L'indicazione di PHP è chiara: aggiornare a PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35. Le versioni 8.1 e precedenti non ricevono più aggiornamenti dal progetto PHP, anche se alcune distribuzioni e fornitori LTS forniscono fix retroportati; data la gravità, il team di sicurezza PHP ha comunque fornito backport minimi da sorgente per PHP 7.4, PHP 8.0 e PHP 8.1 per chi compila da sorgente o non ha accesso a un fornitore LTS.

Per chi non può aggiornare subito, PHP indica mitigazioni temporanee che riducono l'esposizione ma non chiudono la falla: per CVE-2026-109618, impostare memory_limit=-1, preferibilmente in modo che le applicazioni non possano sovrascriverlo, oltre a limitare post_max_size; per CVE-2026-109619, impostare session.upload_progress.enabled=0 e riavviare ogni worker, e su PHP 8.5 anche impostare fatal_error_backtraces=0 e riavviare ogni worker.

Sul fronte supporto a lungo termine, la pagina ufficiale delle versioni supportate indica per la branch 8.2 supporto sicurezza fino al 31 dicembre 2026, per la 8.3 fino al 31 dicembre 2027, per la 8.4 fino al 31 dicembre 2028 e per la 8.5 fino al 31 dicembre 2029: chi è ancora su 8.2 ha meno di due mesi prima della fine completa del supporto.