PHP critico su Bare Metal e VPS OVHcloud: come verificare e aggiornare passo passo

Il 21 ottobre 2026 il progetto PHP ha rilasciato versioni correttive per due vulnerabilità critiche nel core del linguaggio, non in un CMS o framework specifico. OVHcloud ha pubblicato sul proprio blog una guida operativa rivolta ai clienti con server Bare Metal (Kimsufi, So you Start, Rise, Advance, Scale, High Grade) e VPS, cioè a chi gestisce da sé lo stack software e non riceve l'aggiornamento in automatico come avviene invece per i clienti WebCloud e hosting condiviso.

Le due falle

Si tratta di CVE-2026-109618 e CVE-2026-109619, entrambe con CVSS 9.2 su 10. Riguardano la gestione della memoria tra una richiesta e l'altra: la prima si verifica quando una richiesta sovradimensionata esaurisce la memoria disponibile e lascia dati in uno stato incoerente; la seconda quando dati di una richiesta precedente restano in memoria e vengono riutilizzati dalla richiesta successiva. In entrambi i casi un attaccante può eseguire codice con i permessi del server web, senza bisogno di account o password. I ricercatori hanno dimostrato l'exploit su Apache mod_php e PHP-FPM, le due configurazioni più diffuse.

Versioni corrette

Versione installata	Azione
8.5.x	Aggiornare a 8.5.12
8.4.x	Aggiornare a 8.4.27
8.3.x	Aggiornare a 8.3.36
8.2.x	Aggiornare a 8.2.35
8.1 e versioni precedenti fino a 7.4	Nessun rilascio ufficiale: servono patch sorgente e ricompilazione
Sotto 7.4	Nessuna correzione prevista: pianificare la migrazione

Per verificare la versione in uso basta lanciare php -v via SSH. OVHcloud ricorda che il valore mostrato da riga di comando può differire da quello usato dal sito, se sul server sono installate più versioni di PHP: in quel caso va controllata anche la configurazione del web server o del pannello di controllo.

Procedura di aggiornamento

Dopo aver fatto uno snapshot (sui VPS) o un backup di configurazioni e dati (sui Bare Metal), si aggiornano i pacchetti con il gestore della distribuzione: sudo apt update && sudo apt upgrade su Debian/Ubuntu, sudo dnf upgrade su AlmaLinux/Rocky Linux. Per PHP compilato da sorgente va scaricata la versione corretta da php.net; per i container Docker serve ricostruire l'immagine su una base PHP aggiornata. Il passaggio che OVHcloud segnala come più spesso dimenticato è il riavvio del servizio: senza sudo systemctl restart php8.x-fpm o sudo systemctl restart apache2/httpd, la versione vulnerabile resta in esecuzione in memoria anche dopo l'aggiornamento dei pacchetti.

Chi non può aggiornare subito può ridurre il rischio disattivando il tracciamento del progresso upload (session.upload_progress.enabled = 0 nel php.ini) e, solo su PHP 8.5, impostando fatal_error_backtraces = 0. OVHcloud precisa comunque che solo l'aggiornamento mette al riparo completamente.

Vale la pena ricordare che il ramo 8.2, appena corretto in 8.2.35, va comunque in fine vita il 31 dicembre 2026: chi aggiorna oggi dovrà comunque programmare il passaggio a 8.3 o successivi entro quella data. Per chi è ancora su versioni precedenti a 7.4 e senza patch disponibile, le indicazioni attuali di diversi osservatori di sicurezza segnalano inoltre tentativi di sfruttamento già in corso in rete, il che rende la finestra per aggiornare particolarmente stretta.