PHP ha due gravi vulnerabilità: patch urgenti in arrivo

Il team che si occupa della sicurezza del linguaggio PHP ha confermato, per la giornata di oggi, l’arrivo di due aggiornamenti importanti sul fronte della sicurezza. Si tratta di patch che vanno a intervenire con urgenza su altrettante vulnerabilità critiche, entrambe classificate ufficialmente con un rating pari a 9.2/10. Per ovvi motivi, non sono state pubblicate ulteriori informazioni e dettagli tecnici in merito.

Due gravi falle in PHP, patch in arrivo

Il rilascio avverrà questo pomeriggio (mercoledì 21 ottobre, intorno alle ore 16:00 italiane), in anticipo rispetto alla tabella di marcia preventivata, perché la scoperta delle falle è diventata di dominio pubblico. Questo comporta in modo inevitabile un grave pericolo per tutti i sistemi potenzialmente esposti a un attacco. Ecco quanto si legge sul bollettino.

Tutti gli utenti PHP sono invitati a prepararsi fin da ora, così da poter effettuare l’aggiornamento non appena la nuova versione sarà disponibile.

Con l’obiettivo di mantenere la massima riservatezza, il team non ha chiarito nemmeno quali versioni di PHP sono interessate. Stando a quanto emerso, dovrebbero comunque essere quelle dalla 5 alla 8. Non è chiaro nemmeno se siano già stati avvistati degli exploit in grado di comprometterle, pare comunque di no. La redazione del sito BleepingComputer ha ottenuto dai ricercatori di watchTowr la conferma che si tratta delle vulnerabilità CVE-2026-109618 e CVE-2026-109619, con rischi legati alla possibile esecuzione di codice da remoto.

We were all supposed to wait until Thursday at 11am ET.

Information has leaked wrt zero-day embargoed RCE vulns in PHP. We can confirm that they’re real. CVE-2926-109618/619

We cannot share further information right now. Take this seriously and apply patches when available. https://t.co/kguM8fpq13

— watchTowr (@watchtowrcyber) October 20, 2026

Considerando quanto sia diffuso l’utilizzo del linguaggio, la presenza di falle critiche potrebbe innescare gravi conseguenze sul fronte della sicurezza. Ne sapremo di più questo pomeriggio, dopo che saranno state pubblicate le patch.