Axios ha riferito il 22 ottobre che il 21 ottobre era emerso un possibile attacco basato su due vulnerabilità PHP e che decine di siti erano stati messi temporaneamente offline negli Stati Uniti, nel Regno Unito e altrove. Al momento del rilascio delle correzioni, il 21 ottobre, la PHP Foundation aveva dichiarato di non aver individuato exploit funzionanti.
Che cosa facevano le due vulnerabilità
PHP ha descritto entrambe le falle come vulnerabilità che, in condizioni specifiche, potevano consentire l’esecuzione di codice da remoto (RCE), cioè l’esecuzione di codice sul server da parte di un attaccante non autenticato. I due problemi avevano meccanismi diversi:
| CVE | Meccanismo | Impatto descritto |
| CVE-2026-109618 | Corruzione dovuta a esaurimento della memoria: dati interni della richiesta inizializzati solo in parte potevano essere trattati come validi. | RCE in condizioni specifiche. Wiz ha inoltre dimostrato la divulgazione remota della memoria del processo. |
| CVE-2026-109619 | Stato globale non aggiornato dopo un errore fatale; una richiesta successiva gestita dallo stesso worker poteva riutilizzare stato liberato. | RCE in condizioni specifiche. |
PHP ha assegnato a ciascuna vulnerabilità un punteggio di 9,2 secondo CVSS v4.0. Il progetto ha indicato che sono a rischio tutte le installazioni PHP che servono richieste web e ha segnalato mod_php come configurazione con il rischio più elevato: in quel caso una richiesta non autenticata può raggiungere il percorso vulnerabile prima che venga eseguito il codice dell’applicazione.
Ricercatori e manutentori hanno avuto ruoli distinti
OpenAI ha dichiarato che Calif ha individuato una falla critica usando GPT-5.6 Sol nell’ambito di Patch the Planet. Wiz ha scoperto e segnalato in modo indipendente entrambe le vulnerabilità. La PHP Foundation ha descritto le segnalazioni di Calif, OpenAI e Wiz; i manutentori di PHP hanno guidato le correzioni.
La PHP Foundation ha anche riferito che uno sviluppatore del progetto aveva notato indizi del problema di memoria nel 2024. All’epoca non era stato individuato un percorso di exploit concreto, e il lavoro sulla correzione si era poi arrestato.
La divulgazione e le versioni corrette
Secondo la PHP Foundation, gli identificativi CVE iniziarono a circolare online il 20 ottobre 2026; il progetto anticipò il preannuncio e la pubblicazione delle correzioni. La Foundation ha inoltre riferito che un video proof of concept fu pubblicato per errore e che Chainguard diffuse immagini con build corrette prima del rilascio coordinato.
Il 21 ottobre PHP ha pubblicato le versioni correttive 8.5.12, 8.4.27, 8.3.36 e 8.2.35 per CVE-2026-109618 e CVE-2026-109619. I dettagli sono nell’avviso di sicurezza ufficiale di PHP. NeoTeo aveva già riportato le versioni PHP che correggono i due problemi.
Wiz ha indicato che le vulnerabilità interessavano versioni PHP risalenti fino alla 5.4. PHP 8.1 e le versioni precedenti non ricevono più aggiornamenti dal progetto, anche se alcuni fornitori possono distribuire backport. PHP ha specificato che aggiornare alla versione corretta è l’unica correzione completa: le mitigazioni di configurazione riguardano percorsi d’attacco specifici e non rendono sicura un’installazione.
