PHP 8.6.0 RC5 disponibile: ultimo test prima del GA del 19 novembre

Il team di PHP ha annunciato il 5 novembre 2026 la disponibilità di PHP 8.6.0 RC5, quarta release candidate del ciclo 8.6. Per chi gestisce hosting e deve pianificare l'aggiornamento dei container o degli ambienti di staging, è l'ultimo giro di test prima della versione stabile.

Cosa cambia da qui al GA

Il team PHP ha annunciato la quarta release candidate di PHP 8.6.0, RC5, continuando il ciclo di rilascio descritto nel PHP Wiki. I download dei sorgenti di PHP 8.6.0 RC5 sono disponibili sulla pagina di download, con l'avvertenza esplicita: questa versione non va usata in produzione, è una versione di test anticipata.

La prossima release sarà la prima GA, PHP 8.6.0, prevista per il 19 novembre 2026. Chi ha ambienti di test basati su container o VM dedicate ha quindi due settimane per segnalare regressioni prima del rilascio stabile.

Le correzioni di sicurezza già dentro le RC

RC5 non è l'unica candidata uscita in questi giorni. Secondo quanto riportato da LinuxCompatible, il PHP Group ha pubblicato tre release candidate contemporaneamente, con 8.6.0 RC5 come ultima prima del rilascio generale del 19 novembre 2026, e insieme a 8.6.0 sono uscite anche le candidate di manutenzione per le versioni più vecchie 8.5.13 e 8.4.28.

Il motivo del rilascio coordinato è una questione di sicurezza: tutte e tre le candidate portano le correzioni per due vulnerabilità critiche. Secondo LinuxCompatible, il 21 ottobre il team di sicurezza PHP aveva patchato due bug con punteggio CVSS 9.2 che permettevano esecuzione di codice remoto non autenticata: CVE-2026-109618, legata a corruzione di memoria durante eventi di out-of-memory, e CVE-2026-109619, legata a stato globale che sopravvive dopo essere stato liberato. Una terza falla, CVE-2026-115560, relativa all'upload progress di sessione, risultava ancora senza avviso completo al momento del rilascio delle RC.

Chi è già su 8.5.12 o 8.4.27 (o successive) risulta coperto per le due CVE principali; le versioni precedenti alla 8.1 non ricevono correzioni upstream.

Dove trovare i file

I pacchetti sorgente (tar.bz2, tar.gz, tar.xz) e le relative firme sono sulla pagina dei pre-release build di php.net, insieme ai checksum per verificare l'integrità del download prima di qualsiasi test su ambienti di staging.