PHP2Shell: cPanel pubblica le versioni esatte di WHM ed EasyApache da installare
cPanel elenca build precise di WHM, EasyApache 4 e WP Squared che correggono CVE-2026-109618 e -109619, più la mitigazione da mantenere anche dopo la patch.
Redazione UptimeMag · 26 ottobre 2026 · 2 minuti di lettura
cPanel ha pubblicato il 26 ottobre 2026 sul proprio blog l'elenco delle build dei propri prodotti che correggono le due vulnerabilità PHP2Shell, CVE-2026-109618 e CVE-2026-109619, entrambe con CVSS v4.0 9.2. Chi gestisce server con cPanel & WHM trova qui i numeri di versione da verificare, non solo l'annuncio generico già circolato.
Le versioni PHP corrette
Il 21 ottobre 2026 PHP ha pubblicato le versioni corrette 8.5.12, 8.4.27, 8.3.36 e 8.2.35 per CVE-2026-109618 e CVE-2026-109619. Secondo SanSec, il codice vulnerabile di CVE-2026-109618 è presente fin da PHP 5.4.0, rilasciato nel 2012.
Le build cPanel da verificare
| Prodotto | Versione corretta | Data |
|---|---|---|
| EasyApache 4 | v25.91: ea-php82, ea-php83, ea-php84, ea-php85 aggiornati a 8.2.35, 8.3.36, 8.4.27, 8.5.12 | 21 ottobre 2026 |
| EasyApache 4 | v25.92: ea-php74-meta, ea-php80-meta, ea-php81-meta con il backport PHP | 21 ottobre 2026 |
| cPanel & WHM | 11.138.0.18, 11.136.0.50, 11.134.0.66, 11.110.0.153 (PHP interno a cpanel-php84 8.4.27, cpanel-php81 8.1.34-2 su 110) | rilasci di sicurezza |
| WP Squared | 11.138.1.18, con WP Toolkit aggiornato | rilasci di sicurezza |
Chi resta su PHP 7.4, 8.0 o 8.1 sotto EasyApache 4 risulta comunque coperto dal backport del progetto PHP, mentre le build per PHP 7.3 e precedenti non hanno ricevuto correzioni. Per chi deve necessariamente restare su versioni EOL di PHP, cPanel offre l'acquisto dell'Extended Lifecycle Support for PHP.
La mitigazione da non rimuovere
Anche dopo l'aggiornamento, cPanel segnala che il 23 ottobre 2026 il progetto PHP ha raccomandato di mantenere session.upload_progress.enabled=0 fino alla prossima release regolare di bugfix, perché questo riduce l'esposizione a una terza falla collegata, CVE-2026-115560. Su WHM il parametro si imposta dal MultiPHP INI Editor.
Cosa fare subito
- Riavviare PHP-FPM, Apache e ogni worker PHP dopo l'aggiornamento: la sola installazione del pacchetto non basta.
- Controllare i repository di terze parti: non tutti avevano pacchetti corretti il giorno del rilascio.
- Verificare anche le build arm64, pubblicate in alcuni repository dopo quelle amd64.
- Ricostruire immagini container, runner CI e strumenti interni che incorporano PHP, non solo i server di produzione.
Per i dettagli aggiornati, cPanel rimanda all'articolo di supporto dedicato, in aggiornamento continuo man mano che escono nuovi pacchetti.
Testo redatto con il supporto dell'intelligenza artificiale e verificato dalla redazione (AI Act, art. 50). Fonte: cPanel – blog.