Quali sono le vulnerabilità PHP segnalate
Il 21 ottobre 2026, il
progetto PHP ha segnalato due vulnerabilità critiche, identificate come
CVE-2026-109618 e
CVE-2026-109619, che possono consentire l'esecuzione di codice da remoto senza autenticazione, e ha pubblicato gli aggiornamenti di sicurezza per correggerle.
Le versioni correttive rilasciate sono:
- PHP 8.5.12;
- PHP 8.4.27;
- PHP 8.3.36;
- PHP 8.2.35.
Se utilizzi PHP, è importante che tu verifichi tempestivamente le installazioni presenti sui tuoi server e applichi gli aggiornamenti di sicurezza disponibili.
Quali servizi Cloud possono essere interessati
Se hai ricevuto una comunicazione di sicurezza, non significa necessariamente che il tuo server sia vulnerabile. Devi verificare le installazioni PHP e le relative versioni.
Le vulnerabilità possono interessare le installazioni PHP presenti su:
- VMware Cloud Server e OpenStack Cloud Server;
- Cloud VPS;
- Server Dedicati.
La presenza delle vulnerabilità dipende dalla versione PHP utilizzata e dagli eventuali aggiornamenti di sicurezza già applicati.
Nei servizi server unmanaged, sei responsabile della gestione del sistema operativo, dei software installati e dei relativi aggiornamenti, anche quando crei il server utilizzando un template messo a disposizione da Aruba.
Aruba non dispone dell'accesso amministrativo necessario per verificare o aggiornare PHP sui server che gestisci autonomamente.
Se hai affidato la gestione del server a un consulente o a un sistemista di fiducia, ti consigliamo di coinvolgerlo nelle verifiche e negli eventuali interventi correttivi.
Impatto sui servizi Hosting
Per i servizi Hosting Aruba, gli aggiornamenti di sicurezza PHP sono stati completati automaticamente, dopo l'attivazione di misure di protezione aggiuntive. Non è richiesta alcuna operazione da parte sua.
Come verificare le installazioni PHP
Per verificare se il tuo server può essere interessato dalle vulnerabilità, ti consigliamo di:
- verificare tutte le versioni PHP installate sul server e quelle effettivamente utilizzate dai siti web e dalle applicazioni;
- controllare se le versioni in uso includono le correzioni delle vulnerabilità CVE-2026-109618 e CVE-2026-109619;
- verificare la disponibilità di aggiornamenti di sicurezza per il sistema operativo e i software installati;
- verificare che il sistema operativo, le versioni PHP e gli eventuali pannelli di gestione siano ancora supportati;
- controllare la compatibilità delle applicazioni e dei componenti installati con gli aggiornamenti disponibili.
Le modalità di verifica possono variare in base al sistema operativo, alla configurazione del server e agli strumenti che utilizzi per gestire PHP.
Se utilizzi un pannello di gestione, come Plesk, consulta anche la relativa documentazione ufficiale.
Come intervenire per risolvere le vulnerabilità
Se dalle verifiche riscontri la presenza di versioni PHP vulnerabili, devi applicare tempestivamente gli aggiornamenti di sicurezza disponibili.
Prima di procedere, ti consigliamo di:
- creare un backup dei dati e delle configurazioni del server;
- verificare la compatibilità dei siti web, delle applicazioni e dei componenti installati con la versione PHP aggiornata;
- individuare gli aggiornamenti di sicurezza disponibili per il sistema operativo o il pannello di gestione che utilizzi.
Successivamente:
- installa gli aggiornamenti di sicurezza disponibili seguendo le indicazioni previste per il tuo ambiente;
- riavvia i servizi PHP e web interessati, secondo le modalità previste dalla configurazione del server;
- verifica che le versioni PHP effettivamente utilizzate includano le correzioni;
- controlla il corretto funzionamento dei siti web e delle applicazioni dopo l'aggiornamento.
Le procedure di aggiornamento dipendono dal sistema operativo e dagli eventuali pannelli di gestione che utilizzi. Se non disponi delle competenze necessarie per eseguire le operazioni in autonomia, ti consigliamo di rivolgerti a un sistemista di fiducia.
Cosa fare se non è possibile aggiornare PHP
PHP 8.1 e le versioni precedenti non sono più supportate dal progetto PHP e non ricevono aggiornamenti di sicurezza direttamente dal progetto.
Se utilizzi una di queste versioni, verifica la disponibilità di aggiornamenti di sicurezza che risolvano le vulnerabilità segnalate. Se non sono disponibili, ti consigliamo di passare a una versione PHP supportata.
Se il sistema operativo del tuo server è fuori supporto e non ti consente di applicare gli aggiornamenti necessari, ti consigliamo di:
- attivare un nuovo server con un sistema operativo aggiornato e supportato;
- verificare la compatibilità delle applicazioni con il nuovo ambiente;
- migrare i dati, le applicazioni e le configurazioni sul nuovo server;
- verificare il corretto funzionamento dei servizi e dismettere il vecchio server dopo aver completato la migrazione.
Per queste operazioni puoi rivolgerti a un sistemista di fiducia, che potrà valutare la soluzione più adatta alla configurazione del tuo ambiente.
Riferimenti e approfondimenti
Per maggiori informazioni sulle vulnerabilità e sugli aggiornamenti disponibili, consulta le seguenti fonti ufficiali: