PHP corregge due vulnerabilità critiche: aggiornamenti urgenti.

PHP ha rilasciato il 21 ottobre 2026 aggiornamenti di sicurezza per correggere due vulnerabilità critiche, identificate come CVE-2026-109618 e CVE-2026-109619. Le patch riguardano le versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35, e il progetto indica che i difetti potevano consentire l’esecuzione remota di codice senza autenticazione.

La notizia arriva da un rilascio coordinato che coinvolge il progetto PHP e il PHP Foundation, mentre OpenAI ha chiarito che tra gli elementi della scoperta c’è anche GPT-5.6 Sol, usato da Calif nell’ambito di Patch the Planet. Nel materiale disponibile, però, è importante distinguere ciò che è documentato dalle fonti primarie da ciò che resta solo parte del racconto complessivo: il fatto certo è il rilascio delle patch e la natura critica delle vulnerabilità; l’attribuzione dell’individuazione del difetto all’uso del modello è confermata da OpenAI, ma non va estesa oltre ciò che la fonte descrive esplicitamente.

Che cosa correggono gli aggiornamenti

Secondo la pagina ufficiale di PHP, le nuove versioni correggono due falle considerate critiche e potenzialmente sfruttabili per remote code execution senza autenticazione. In pratica, un attaccante che riuscisse a colpire installazioni vulnerabili potrebbe arrivare a eseguire istruzioni da remoto sul sistema bersaglio, con conseguenze potenzialmente gravi per siti, applicazioni e infrastrutture che usano PHP in produzione.

Gli aggiornamenti pubblicati il 21 ottobre coprono le release supportate del ramo principale e dei rami ancora mantenuti dal progetto:

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

Il punto centrale, per gli utenti, è semplice: chi gestisce installazioni esposte a Internet o ambienti condivisi dovrebbe verificare al più presto la versione in uso e pianificare l’aggiornamento. In una vulnerabilità di questo tipo, il tempo tra la divulgazione della correzione e l’adozione effettiva pesa molto più della sola notizia del rilascio.

Il ruolo di GPT-5.6 Sol nella scoperta

OpenAI ha pubblicato una nota sulla divulgazione coordinata e ha spiegato che Calif ha identificato un difetto critico usando GPT-5.6 Sol nel contesto di Patch the Planet. Nello stesso aggiornamento, OpenAI afferma anche che Wiz ha scoperto in modo indipendente entrambe le vulnerabilità. Questo dettaglio è importante perché mostra due elementi distinti: da un lato l’uso di strumenti AI come supporto nell’analisi di sicurezza, dall’altro il lavoro parallelo di ricerca condotto da un soggetto specializzato in cybersecurity.

Non è corretto, però, trasformare questa informazione in una prova che il modello abbia “scoperto da solo” l’intero problema o che l’AI sostituisca il lavoro umano di ricerca. Le fonti disponibili raccontano un caso di collaborazione e coordinamento, non un’autonomia assoluta del sistema. È una distinzione rilevante, soprattutto quando si parla di sicurezza informatica, dove la validazione umana resta fondamentale.

Perché il caso è rilevante per chi usa PHP

PHP resta una tecnologia centrale per una parte molto ampia del web, e proprio per questo un aggiornamento di sicurezza su vulnerabilità critiche ha effetti immediati sul lavoro di chi amministra server, piattaforme CMS, e-commerce e applicazioni custom. In questi casi non conta solo il software in sé, ma anche la velocità con cui gli aggiornamenti vengono distribuiti lungo tutta la filiera: hosting, ambienti gestiti, build interne e sistemi che magari dipendono da versioni non più recenti.

Il rilascio segnala anche un altro aspetto: il progetto continua a mantenere rami diversi del linguaggio con un ciclo di patch separato. Per gli amministratori, questo significa che non basta sapere se “PHP è aggiornato” in senso generico; serve controllare esattamente quale branch è installato e se rientra tra quelli ancora supportati.

E le versioni fuori supporto?

Il PHP Foundation, nella nota di contesto, ha ricordato che PHP 8.1 è EOL, quindi non riceverà un nuovo rilascio ufficiale del progetto. Heroku ha spiegato di aver dovuto ricompilare 8.1.34 con la correzione backportata proprio per questo motivo. È un dettaglio tecnico importante: quando un ramo è fuori supporto, la correzione non arriva automaticamente dal progetto, e la responsabilità di mitigare il rischio ricade più spesso su provider, distributori o sui singoli team che mantengono l’installazione.

Questo non vuol dire che tutte le installazioni su branch EOL siano compromesse, ma che il margine di protezione è più fragile. In assenza di manutenzione diretta del progetto, ogni ritardo nell’intervento aumenta il rischio operativo.

Attenzione agli allarmi sugli exploit in corso

Nel materiale disponibile compare anche il riferimento a presunti attacchi in corso e a milioni di tentativi di exploit attribuiti a Cloudflare, ma su questo punto il dossier non contiene una fonte primaria diretta di Cloudflare o di un organismo equivalente. Per questo motivo è prudente considerare quel dettaglio come non verificato qui, anche se coerente con il comportamento tipico che segue alla pubblicazione di una patch critica.

In altre parole: il rilascio della correzione è un fatto documentato; la scala e l’effettiva diffusione degli attacchi richiedono invece un riscontro specifico e indipendente. Senza quella prova, è meglio non confondere un rischio plausibile con un dato già accertato.

Cosa cambia adesso

Il quadro più utile per i lettori non è il clamore della vulnerabilità, ma la conseguenza pratica: chi gestisce sistemi PHP deve aggiornare quanto prima alle versioni corrette, verificare dipendenze e componenti collegati e controllare se eventuali ambienti non supportati richiedano una strategia alternativa. Per le organizzazioni, il tema non riguarda soltanto la sicurezza dell’applicazione, ma anche la continuità del servizio e la riduzione della superficie d’attacco.

Il caso mostra anche come la ricerca di vulnerabilità stia cambiando. L’uso di modelli come GPT-5.6 Sol non sostituisce l’analisi degli specialisti, ma può entrare nel processo di scoperta e coordinamento. Per il settore, è un segnale di maturazione degli strumenti; per gli amministratori, il messaggio resta molto concreto: quando una patch critica arriva, la priorità è applicarla, non aspettare ulteriori conferme.

Fonti

• PHP
• Today’s PHP Security Release, and How We’re Strengthening PHP Security — The PHP Foundation — Supporting, Advancing, and Developing the PHP Language
• Patch the Planet: global response coordination as agents uncover critical vulnerabilities | OpenAI