PHP: rilascio di sicurezza oggi alle 14:00 UTC per due falle critiche CVSS 9.2

Il team di sicurezza di PHP ha pubblicato il 20 ottobre 2026 un avviso di preavviso su php.net: un rilascio di sicurezza è previsto per mercoledì 21 ottobre 2026 alle 14:00 UTC e it addresses two critical vulnerabilities, both rated CVSS v4.0 9.2. Per chi gestisce server LAMP, LEMP o hosting condiviso basato su PHP, è il momento di pianificare l'aggiornamento prima che l'orario scatti.

Cosa dice davvero l'annuncio ufficiale

Il testo pubblicato da php.net è volutamente scarno. All PHP users are encouraged to prepare now so they can upgrade as soon as the release is available. We reserve the right to release earlier should details of either vulnerability become public, or should evidence of active exploitation appear in the wild. L'avviso specifica anche che full details, affected versions, and the fixed versions will be published with the release. Fino al momento del rilascio, quindi, PHP non conferma né CVE né versioni coinvolte.

Online circolano comunque due identificativi, CVE-2026-109618 e CVE-2026-109619, e un punteggio CVSS 10.0 più alto di quello ufficiale. Questi dati arrivano da fonti terze: "We can confirm that they're real," the researchers said. It also identified the vulnerabilities as CVE-2026-109618 and CVE-2026-109619, riferendosi ai ricercatori di watchTowr dopo un post trapelato su Hacker News. Ma watchTowr's statements and the Hacker News post are different from PHP's official announcement. Both described the vulnerabilities as CVSS 10.0, while the PHP security team assigned each a CVSS v4.0 score of 9.2. Meglio quindi attenersi al dato ufficiale fino alla pubblicazione delle patch.

Chi riceve la patch

L'annuncio non lo dice, ma la pagina ufficiale dei rami supportati chiarisce chi è oggi coperto da fix di sicurezza:

Ramo	Rilascio iniziale	Supporto attivo fino a	Solo sicurezza fino a
8.2	8 dic 2022	31 dic 2024 (scaduto)	31 dic 2026
8.3	23 nov 2023	31 dic 2025 (scaduto)	31 dic 2027
8.4	21 nov 2024	31 dic 2026	31 dic 2028
8.5	20 nov 2025	31 dic 2027	31 dic 2029

Chi è fermo su PHP 8.1 o versioni precedenti non riceverà alcuna correzione da questo rilascio: quei rami sono fuori supporto da tempo, come riporta la pagina ufficiale dei rami.

Cosa fare ora

Verificare la versione PHP in uso con php -v, individuare tutti i server coinvolti e tenere pronta la procedura di aggiornamento del proprio pannello o del gestore pacchetti (apt, dnf, o il repository del provider). I dettagli tecnici, i CVE ufficiali e le versioni corrette saranno pubblicati da PHP contestualmente al rilascio di oggi alle 14:00 UTC su php.net/archive/2026.php.