Wordfence: aggiornare WordPress non basta contro le due RCE critiche in PHP

Wordfence ha pubblicato test specifici su WordPress per le due vulnerabilità critiche in PHP, CVE-2026-109618 e CVE-2026-109619, uscite il 21 ottobre 2026. Il punto del post: aggiornare WordPress non serve a niente se il PHP del server resta quello vecchio. Per chi gestisce hosting o siti clienti, significa controllare il pannello di controllo o il provider, non la bacheca degli aggiornamenti di WordPress.

Le due falle

Entrambe le CVE hanno CVSSv4 9.2 e permettono esecuzione di codice non autenticata con i privilegi del processo web. Colpiscono PHP-FPM, Apache mod_php, php-cgi, FrankenPHP e LiteSpeed. Secondo l'avviso della Canadian Centre for Cyber Security, il rischio maggiore è su mod_php, dove un exploit dimostrato innesca la falla prima ancora che parta il codice dell'applicazione.

Versione PHP	Vulnerabile se precedente a	Versione corretta
8.5.x	8.5.12	8.5.12
8.4.x	8.4.27	8.4.27
8.3.x	8.3.36	8.3.36
8.2.x	8.2.35	8.2.35

Le versioni 8.1 e precedenti non ricevono più fix ufficiali dal progetto PHP; alcune distribuzioni offrono backport separati.

Cosa ha trovato Wordfence

Nei test preliminari, una richiesta di proof-of-concept contro PHP 8.5.11 (vulnerabile) ha mandato in errore il processo, mentre PHP 8.5.12 (patchato) ha gestito la stessa richiesta senza problemi. In un secondo test, su WordPress 7.1.3 con un pacchetto Ubuntu basato su PHP 8.5.4 vulnerabile, richieste appositamente costruite hanno causato errori o riavvii del processo PHP in alcune configurazioni. Wordfence precisa di non essere riuscita a ottenere esecuzione di codice in proprio per questa CVE: il crash è riproducibile, l'RCE no, almeno nei loro test.

Cosa fare

• Verificare la versione reale di PHP sul server, non quella dichiarata nel pannello: php -v da riga di comando.
• Aggiornare al rilascio corretto per il proprio ramo (8.2.35, 8.3.36, 8.4.27 o 8.5.12) e riavviare il servizio: systemctl restart php8.3-fpm (adattare al proprio numero di versione).
• Se si gestiscono più siti su un unico server, il riavvio va fatto una volta sola per pool PHP-FPM condiviso, non per ogni vhost.

Wordfence è un prodotto di proprietà di WordPress.com / Defiant, non di Prime Software.