Il progetto PHP ha pubblicato, mercoledì 21 ottobre 2026 alle 14:00 UTC, le versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35 del suo linguaggio di programmazione. Correggono due vulnerabilità, CVE-2026-109618 e CVE-2026-109619, valutate 9,2 sulla scala CVSS v4.0, che possono consentire l’esecuzione di codice remoto senza autenticazione. Un identificativo CVE designa una falla di sicurezza referenziata, e il punteggio CVSS ne misura la gravità.
Secondo l’editore, tutte le installazioni che servono richieste web sono interessate, sotto PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP o LiteSpeed, il rischio essendo giudicato più elevato con mod_php. Lo stesso giorno, il CERT-FR ha aggiornato il suo avviso CERTFR-2026-ALE-014, e il ministero dell’Interno ha chiuso i suoi siti esposti, prefetture comprese. La cronologia pubblicata dalla PHP Foundation indica che il difetto all’origine della prima falla era identificato dal 2024, senza vettore di sfruttamento conosciuto.
Un difetto individuato durante l’audit del 2024
Nel 2024, PHP passa il suo primo audit di sicurezza esterno da anni. Finanziato dalla Sovereign Tech Agency tedesca, organizzato dall’OSTIF e realizzato dalla società francese Quarkslab, questo audit porta uno sviluppatore del core di PHP a individuare, correggendo uno dei problemi segnalati, i primi segni di un difetto legato agli errori di esaurimento della memoria (out-of-memory). Uno sfruttamento è allora teorizzato, senza vettore concreto.
La correzione si scontra poi con degli arbitrati. Ogni approccio considerato rompeva la compatibilità, apriva un rischio di denial of service o imponeva modifiche a numerose estensioni di terze parti, impossibili da coordinare. Il team di sicurezza, che decide per consenso, ha visto il cantiere « bloccarsi e ripartire più volte per mesi ». La fondazione scrive che « il ritardo era un fallimento strutturale », dovuto a questa modalità decisionale e a una mancanza di mezzi.
Calif, OpenAI e Wiz: un’estate di dimostrazioni
Nell’ambito del programma Patch the Planet, la società Calif inizia un audit di PHP il 30 luglio 2026. L’11 agosto, il suo ricercatore Ryan A. segnala un’esecuzione di codice remoto incondizionata, della stessa causa radice del difetto del 2024. OpenAI, di cui la fondazione accredita il team Codex Security, riporta la stessa causa lo stesso giorno. Wiz Research segue il 24 agosto con altri vettori d’attacco. A partire dall’11 agosto, scrive la fondazione, la correzione diventa la priorità di tutto il suo team sicurezza.
Wiz indica di aver utilizzato il suo strumento Wiz Atlas, Gemini 4 Argon di Google e GPT-5.6 Sol di OpenAI. La sua cronologia colloca la scoperta della prima falla al 19 agosto, l’esecuzione di codice confermata il 20 agosto su Drupal e il 21 su WordPress, e la segnalazione a PHP il 24. Secondo l’azienda, un solo ricercatore, con questi modelli, ha completato in una settimana ciò che avrebbe richiesto mesi a un team di primo piano. La fondazione elenca inoltre 15 CVE pubblicate dal 1° luglio e più di 100 segnalazioni scartate, perché invalide, duplicate o non riproducibili.
L’uscita era prevista per il 22 ottobre. Il 20 ottobre verso le 15:00 UTC, i due identificativi CVE hanno iniziato a circolare su forum e social network, con un orario di uscita errato e un punteggio CVSS falso di 10. Secondo la fondazione, nessun dettaglio tecnico è trapelato. PHP ha anticipato il suo pre-annuncio e l’uscita al 21 ottobre. Chainguard ha pubblicato, il 21 ottobre alle 7:41 UTC, immagini integrate con la patch più di sei ore prima dell’uscita, ciò che la fondazione qualifica come rottura unilaterale dell’embargo.
Isolare poi migrare, la direttiva del CERT-FR
Il CERT-FR elenca come interessate tutte le versioni 5.x, 6.x, 7.x, 8.0.x e 8.1.x, così come i rami 8.2 a 8.5 antecedenti alle versioni corrette. Per i rami che l’editore non mantiene più, raccomanda di isolare le apparecchiature poi di migrare verso una versione mantenuta. Le soluzioni alternative provvisorie, in configurazione di PHP o su un firewall applicativo, non sono qualificate dal CERT-FR. Secondo l’Anssi, più di 600.000 server utilizzano PHP sull’Internet francese. Il ministero dell’Interno ha messo in manutenzione preventiva i suoi siti esposti, secondo una dichiarazione riportata dall’AFP. Il 22 ottobre alle 8:33, ora di Parigi, il sito della CNIL e impots.gouv.fr mostravano una pagina di manutenzione, come quello della prefettura della Seine-Saint-Denis. Nessuna di queste pagine menziona PHP.
Cloudflare dice di aver osservato traffico d’attacco mirato ai suoi clienti, e degli attaccanti modificare le loro richieste per aggirare le sue regole di filtraggio. Secondo la fondazione, nessun exploit funzionale era stato identificato al momento della pubblicazione. Alla data indicata, nessuna delle fonti citate riporta un’intrusione riuscita.
Le versioni mantenute hanno ricevuto la loro patch il giorno della divulgazione. Il rischio principale riguarda i server ancora in PHP 8.1 o precedente, che il progetto non aggiorna più. Per PHP 7.4, 8.0 e 8.1, il suo team di sicurezza ha fornito dei backport minimi, destinati a coloro che compilano dalle sorgenti. La PHP Foundation chiede alle aziende, hosting e amministrazioni che si basano su PHP di finanziarla, perché la sicurezza del motore dipende ancora, scrive, da « un piccolo gruppo di sviluppatori finanziati dalla fondazione e da un po’ di aiuto volontario ».
