Due vulnerabilità critiche in PHP (CVE-2026-109618 e CVE-2026-109619) – aggiornare subito

Il 21 ottobre 2026 PHP ha rilasciato un aggiornamento di sicurezza che corregge due vulnerabilità critiche, CVE-2026-109618 e CVE-2026-109619 (CVSS 9.2), che consentono l'esecuzione di codice da remoto senza autenticazione. Il vendor indica che non esistono mitigazioni complete: l'unica soluzione è aggiornare.

Versioni affette → versione corretta

• PHP 8.5.x precedenti alla 8.5.12 → 8.5.12
• PHP 8.4.x precedenti alla 8.4.27 → 8.4.27
• PHP 8.3.x precedenti alla 8.3.36 → 8.3.36
• PHP 8.2.x precedenti alla 8.2.35 → 8.2.35
• PHP 8.1 e versioni precedenti → nessuna patch né workaround: le versioni sono fuori supporto (EOL) e il vendor non rilascerà correzioni. È necessaria la migrazione a una versione supportata.

Vi chiediamo di verificare con i vostri clienti se sui loro server cloud sono presenti:

• applicazioni o siti web sviluppati in PHP
• web server Plesk
• installazioni Nextcloud
• firewall pfSense o OPNsense
• qualsiasi altro prodotto che utilizza PHP

Se sì, vi raccomandiamo di:

1. verificare la versione di PHP in uso;
2. aggiornare alla versione corretta (per Plesk, Nextcloud, pfSense/OPNsense e altri prodotti, tramite gli aggiornamenti rilasciati dal rispettivo produttore);
3. riavviare PHP-FPM o il web server al termine dell'aggiornamento, per caricare la nuova versione;
4. pianificare con urgenza la migrazione dei sistemi che usano PHP 8.1 o precedenti.