PHP 8.6: RC4 con due falle critiche corrette, RC5 il 5 novembre, GA il 19

Aggiornamento alla nostra pagina su PHP 8.6: a due settimane dal rilascio generale, fissato per il 19 novembre 2026, il progetto è arrivato alla quarta release candidate e ne manca una sola prima della GA. Chi gestisce hosting condiviso, VPS o pannelli di controllo ha un'ultima finestra per testare prima che la versione finisca nei repository di produzione.

Stato delle release candidate al 4 novembre

Secondo l'archivio news ufficiale di php.net, la terza release candidate di PHP 8.6.0, RC4, continua il ciclo di rilascio di PHP 8.6, il cui schema generale è definito nella PHP Wiki. La numerazione è irregolare perché, come riporta la stessa pagina wiki del progetto, la prima release candidate di PHP 8.6.0, RC2, è stata rilasciata al posto di RC1 a causa di un errore nel packaging.

Il calendario aggiornato, verificato su wiki.php.net/todo/php86, è questo:

Milestone	Data
RC2 (RC1 saltata)	24 settembre 2026
RC3	8 ottobre 2026
RC4	21 ottobre 2026
RC5 (ultima)	5 novembre 2026
GA (rilascio generale)	19 novembre 2026

Un dato che non compariva nelle nostre note precedenti: la RC4 non è solo una tappa di avanzamento funzionale. La terza release candidate di PHP 8.6.0, RC4 include infatti i fix di sicurezza diffusi in parallelo per i rami stabili. Lo stesso archivio ufficiale lo dice esplicitamente: la build contiene anche le correzioni per due vulnerabilità critiche che possono consentire l'esecuzione di codice da remoto non autenticata, le stesse CVE-2026-109618 e CVE-2026-109619 già corrette in PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Chi sta già testando build precedenti di 8.6.0 (alpha o beta) deve aggiornare alla RC4 o successiva, non solo per le funzionalità ma per la sicurezza.

Cosa resta confermato dalle RFC

Rispetto alla fase beta, le note di aggiornamento (UPGRADING) della RC4 confermano alcuni comportamenti che vale la pena rivedere prima di spostare codice in produzione: un nuovo enum SortDirection (casi Ascending e Descending) e un'API di polling (Io\Poll), modifiche per cui il foreach by-reference può ora visitare elementi che in precedenza saltava dopo una compattazione dell'array, e l'operatore ?? o empty() su una proprietà magica non chiama più _get() in un caso specifico, oltre a preg_grep() che ora restituisce false invece di un array parziale quando si verifica un errore PCRE, uniformandosi alle altre funzioni preg*. Resta inoltre confermata la deprecazione dei valori di ritorno da __construct() e __destruct(), finora scartati silenziosamente, con un avviso di deprecazione che PHP 9.0 trasformerà in errore.

Checklist pratica per testare la RC su staging

Per chi vuole provare la RC5 (o nel frattempo la RC4) senza toccare i server di produzione, l'immagine Docker ufficiale esiste ed è aggiornata: su Docker Hub il tag php:8.6-rc risulta pubblicato, insieme alle varianti cli, fpm, apache e alpine.

1. Scaricare l'immagine ufficiale

docker pull php:8.6-rc-cli

2. Verificare la versione installata nel container

docker run --rm php:8.6-rc-cli php -v

3. Lanciare il lint sul codice del proprio plugin/tema prima della suite completa

docker run --rm -v $(pwd):/app -w /app php:8.6-rc-cli php -l wp-content/plugins/nome-plugin/plugin.php

4. Eseguire la suite di test dei plugin WordPress critici montando la cartella del progetto e usando PHPUnit dentro il container:

docker run --rm -v $(pwd):/app -w /app php:8.6-rc-cli vendor/bin/phpunit --configuration phpunit.xml.dist

5. Attivare tutti i log di deprecazione per intercettare in anticipo gli avvisi su __construct()/__destruct() e sugli altri comportamenti cambiati:

docker run --rm -v $(pwd):/app -w /app -e PHP_INI_SCAN_DIR=/app/ci php:8.6-rc-cli php -d error_reporting=E_ALL -d display_errors=1 wp-content/plugins/nome-plugin/test.php

6. Se un plugin fallisce solo per i nuovi deprecation notice e non per errori fatali, può restare in produzione fino alla GA del 19 novembre; se fallisce la suite PHPUnit, va aggiornato prima.

Articolo aggiornato rispetto alla versione precedente su "PHP 8.6: cosa cambia" con lo stato delle release candidate al 4 novembre 2026.