Il team che si occupa della sicurezza del linguaggio PHP ha confermato, per la giornata di oggi, l’arrivo di due aggiornamenti importanti sul fronte della sicurezza. Si tratta di patch che vanno a intervenire con urgenza su altrettante vulnerabilità critiche, entrambe classificate ufficialmente con un rating pari a 9.2/10. Per ovvi motivi, non sono state pubblicate ulteriori informazioni e dettagli tecnici in merito.
Due gravi falle in PHP, patch in arrivo
Il rilascio avverrà questo pomeriggio (mercoledì 21 ottobre, intorno alle ore 16:00 italiane), in anticipo rispetto alla tabella di marcia preventivata, perché la scoperta delle falle è diventata di dominio pubblico. Questo comporta in modo inevitabile un grave pericolo per tutti i sistemi potenzialmente esposti a un attacco. Ecco quanto si legge sul bollettino.
Tutti gli utenti PHP sono invitati a prepararsi fin da ora, così da poter effettuare l’aggiornamento non appena la nuova versione sarà disponibile.
Con l’obiettivo di mantenere la massima riservatezza, il team non ha chiarito nemmeno quali versioni di PHP sono interessate. Stando a quanto emerso, dovrebbero comunque essere quelle dalla 5 alla 8. Non è chiaro nemmeno se siano già stati avvistati degli exploit in grado di comprometterle, pare comunque di no. La redazione del sito BleepingComputer ha ottenuto dai ricercatori di watchTowr la conferma che si tratta delle vulnerabilità CVE-2026-109618 e CVE-2026-109619, con rischi legati alla possibile esecuzione di codice da remoto.
We were all supposed to wait until Thursday at 11am ET.
Information has leaked wrt zero-day embargoed RCE vulns in PHP. We can confirm that they’re real. CVE-2926-109618/619
We cannot share further information right now. Take this seriously and apply patches when available. https://t.co/kguM8fpq13
— watchTowr (@watchtowrcyber) October 20, 2026
Considerando quanto sia diffuso l’utilizzo del linguaggio, la presenza di falle critiche potrebbe innescare gravi conseguenze sul fronte della sicurezza. Ne sapremo di più questo pomeriggio, dopo che saranno state pubblicate le patch.
Aggiornamento (21 ottobre 2026, ore 16:25)
Come riportato anche da CERT-AGID, il PHP Security Team ha pubblicato gli aggiornamenti. Ha inoltre confermato che le due vulnerabilità consentono potenzialmente l’esecuzione di codice da remoto.
Sono già disponibili online diversi Proof-of-Concept (PoC) che dichiarano di sfruttare le vulnerabilità. Sebbene la loro efficacia non sia stata ancora pienamente verificata, la disponibilità di tali strumenti aumenta il rischio di tentativi di attacco contro i sistemi PHP esposti su Internet.
Ti potrebbe interessare
21 ott 2026