PHP sta preparando un aggiornamento di sicurezza critico programmato per il 21 ottobre 2026, dopo aver identificato due vulnerabilità che riportano entrambe un punteggio CVSS v4 pari a 9.2, collocandole nella categoria di gravità critica. La PHP Foundation ha annunciato il rilascio imminente il 20 ottobre, invitando gli utenti a prepararsi ad aggiornare immediatamente, e ha avvertito che le correzioni potrebbero arrivare in anticipo rispetto al previsto se i dettagli dell'exploit diventassero pubblici o emergessero prove di exploitazione attiva.

Il rilascio è previsto per le 14:00 UTC, corrispondenti alle 15:00 BST. Oltre all'annuncio della PHP Foundation, il National Cyber Security Centre (NCSC) del Regno Unito ha esortato le organizzazioni a identificare i sistemi vulnerabili e prepararsi ad applicare le patch non appena disponibili. Nei casi in cui la mitigazione tempestiva non sia possibile, ha detto l'agenzia, le organizzazioni dovrebbero valutare di portare offline i sistemi interessati fino a quando i rischi non possano essere mitigati.

Il preavviso offre agli amministratori una finestra di preparazione

L'allerta anticipata della PHP Foundation è pensata per dare agli amministratori il tempo di prepararsi prima che le correzioni di sicurezza diventino disponibili. Poiché il rilascio potrebbe essere anticipato con breve preavviso, la preparazione non può attendere la pubblicazione delle patch.

PHP, acronimo di PHP Hypertext Preprocessor, è un linguaggio di scripting lato server ampiamente utilizzato per creare siti web e applicazioni web. Elabora la logica backend, interagisce con i database e genera contenuti dinamici prima di inviare le pagine ai browser degli utenti. Questo ruolo diffuso rende la sicurezza di PHP importante per le organizzazioni che gestiscono siti e applicazioni esposti a internet, poiché le vulnerabilità del linguaggio possono esporre i sistemi che ne dipendono, a seconda della natura dei difetti e di quanto risultino sfruttabili.

Il NCSC raccomanda di identificare tutti i sistemi che eseguono nell'infrastruttura di un'organizzazione, dando priorità ai sistemi esposti a internet perché direttamente raggiungibili dall'esterno. Gli amministratori dovrebbero inoltre monitorare tali sistemi per individuare attività sospette e seguire le indicazioni ufficiali di PHP. L'agenzia consiglia inoltre di continuare a monitorare gli aggiornamenti dei fornitori terzi i cui prodotti o servizi includono PHP.

La PHP Foundation ha condiviso il proprio preavviso su X:

The PHP security team is giving advance notice: Upcoming security release Wed, Oct 21st 2026, 14:00UTC, two critical vulnerabilities, both rated CVSSv4 9.2. PHP users are encouraged to prepare to update. Earlier release if details become public or active exploit evidence.

— The PHP Foundation (@ThePHPF) October 20, 2026

Come l'aggiornamento potrebbe influire sugli operatori di siti web

Il rilascio pianificato crea una finestra di preparazione immediata per i team di sicurezza, i provider di hosting e gli operatori di applicazioni. Una volta disponibili le patch, gli amministratori dovrebbero valutare i sistemi interessati e installare tempestivamente gli aggiornamenti appropriati.

La PHP Foundation ha anche avvertito gli utenti che si affidano al repository Remi RPM, mantenuto da volontari, che gli aggiornamenti non saranno disponibili lì il giorno del rilascio. Raccomanda di passare ai pacchetti della distribuzione o di compilare PHP dal codice sorgente per applicare immediatamente le correzioni. L'avvertimento è rilevante per gli operatori i cui processi di patching dipendono da quel repository, poiché la loro capacità di aggiornarsi rapidamente potrebbe dipendere dall'aver predisposto in anticipo un metodo di installazione alternativo.

Il NCSC raccomanda inoltre di portare offline i sistemi quando la mitigazione immediata non è fattibile. Tale precauzione può ridurre l'esposizione mentre gli amministratori lavorano a una correzione completa, anche se potrebbe compromettere la disponibilità del sito.

Per le aziende cripto, gli exchange e i provider di wallet che gestiscono infrastrutture basate su PHP valgono gli stessi principi di preparazione. Qualsiasi servizio interessato potrebbe correre rischi di sicurezza se gli amministratori ritardano la mitigazione dopo la disponibilità delle patch. La priorità immediata è la preparazione, seguita da un patching rapido e da un monitoraggio continuo.

Fino all'arrivo del rilascio di sicurezza e alla pubblicazione dei suoi dettagli tecnici, gli amministratori dovrebbero seguire le indicazioni ufficiali della PHP Foundation e del NCSC anziché presumere quali sistemi siano vulnerabili.

Questo articolo è basato su un servizio di Blockonomi.