Novità settore: aggiorna PHP — due RCE critiche (ottobre 2026)
Cosa sta cambiando. Il 21 ottobre 2026 il progetto PHP ha pubblicato release di sicurezza 8.2.35, 8.3.36, 8.4.27 e 8.5.12. Correggono due vulnerabilità critiche (CVE-2026-109618, CVE-2026-109619, CVSS v4.0 9.2) che, in condizioni favorevoli, permettono esecuzione di codice remoto non autenticata su PHP esposto in rete. Dettagli tecnici sono trapelati prima della disclosure coordinata: circolano exploit pubblici e sono stati segnalati i primi tentativi di attacco. Chi gira ancora versioni precedenti alle patch va considerato a rischio.
Perché conta per un sito o uno studio
Non è un bug di un plugin: è nel runtime PHP (gestione memoria / stato tra richieste), lo strato che esegue WordPress, PrestaShop, Joomla e qualsiasi app PHP. I worker PHP-FPM (e a maggior ragione mod_php) sono il bersaglio tipico. Non esistono mitigazioni complete alternative all’aggiornamento: la Foundation e i vendor di sicurezza (tra cui Trend Micro) raccomandano di patchare subito.
Cosa abbiamo fatto su Hosting Spiderbyte
Il 22 ottobre 2026 abbiamo aggiornato panel e master del cluster alle versioni patchate del repository Ondřej Surý:
- PHP 8.3.36
- PHP 8.4.27
- PHP 8.5.12
I servizi FPM sono stati riavviati: i siti sul nostro hosting usano già i runtime corretti. Resta valida la nostra linea di prodotto: solo PHP 8.3+, niente branch EOL.
Cosa puoi fare tu oggi
- Se hai hosting da noi, non serve intervento sul runtime: verifica eventualmente in pannello che il sito punti a 8.3 / 8.4 / 8.5;
- Se gestisci PHP altrove (VPS, container, macchina propria), aggiorna almeno a 8.3.36, 8.4.27 o 8.5.12 (o al backport del tuo vendor) e riavvia FPM / container;
- In caso di dubbio su compromissione: controlla file modificati di recente, webshell, processi PHP anomali e connessioni in uscita inattese.
Approfondimento sulla nostra politica PHP: perché usiamo solo PHP 8.3+. Assistenza: info@spiderbyte.it o area clienti.