Cloudflare ha segnalato una vulnerabilità PHP distinta dalle patch del 21 ottobre

Il 23 ottobre 2026 Cloudflare ha segnalato CVE-2026-115560, una vulnerabilità PHP distinta dalle due corrette dal progetto PHP il 21 ottobre. Il nuovo avviso riguarda una configurazione non comune; gli aggiornamenti di ottobre hanno corretto CVE-2026-109618 e CVE-2026-109619.

Che cosa riguarda CVE-2026-115560

Per CVE-2026-115560, PHP indica una condizione di configurazione specifica: cambiare a runtime session.serialize_handler impostandolo su php prima di session_start(), mentre è attivo il monitoraggio dell’avanzamento del caricamento dei file di sessione. Questa vulnerabilità è separata dai due CVE corretti il 21 ottobre.

Che cosa correggono le patch PHP del 21 ottobre

CVE-2026-109618 riguarda la gestione di un esaurimento della memoria: PHP può lasciare dati della richiesta inizializzati solo in parte, che il processo di pulizia può poi trattare come validi. CVE-2026-109619 riguarda invece uno stato interno rimasto dopo che la memoria a cui era collegato è stata liberata; una richiesta successiva sullo stesso processo può riutilizzarlo.

Google Cloud assegna a ciascun CVE un punteggio base CVSS 4.0 di 9,2, classificato Critico. Wiz ha documentato dimostrazioni di esecuzione remota di codice senza autenticazione in applicazioni selezionate e un percorso distinto per esporre memoria del processo.

PHP indica come interessate le installazioni che servono il web tramite PHP-FPM, Apache mod_php, php-cgi, FrankenPHP e LiteSpeed. Il progetto segnala il rischio più alto per mod_php. Queste configurazioni non significano che ogni sito basato su PHP sia vulnerabile nello stesso modo.

Le versioni corrette di PHP

PHP considera l’aggiornamento a una di queste release l’unica correzione completa per CVE-2026-109618 e CVE-2026-109619. Le regole di un WAF, cioè un firewall per applicazioni web, e le misure di configurazione possono ridurre l’esposizione, ma non sostituiscono l’aggiornamento. I dettagli delle versioni sono nell’archivio ufficiale PHP.

PHP 8.1 e le versioni precedenti non ricevono più aggiornamenti regolari dal progetto. PHP ha fornito backport minimi del codice sorgente per le versioni 7.4, 8.0 e 8.1; distribuzioni e fornitori di supporto a lungo termine possono offrire pacchetti propri, con disponibilità che varia in base al fornitore.

Il contributo dei ricercatori e dell’IA

OpenAI ha attribuito a Calif l’individuazione di una falla con GPT-5.6 Sol. Calif colloca al 1º agosto la scoperta di più percorsi verso l’esecuzione remota di codice e all’11 agosto la prima segnalazione a PHP. Il ricercatore Ryan Austin ha descritto il lavoro come un’indagine guidata da una persona con l’aiuto di un modello linguistico: la sua esperienza con PHP e la conoscenza delle vulnerabilità passate hanno orientato la ricerca. Austin ha detto di non aver usato un ambiente di test speciale né modelli non accessibili al pubblico.

Wiz ha riferito di aver individuato in modo indipendente una vulnerabilità il 19 agosto e di aver segnalato i problemi a PHP il 24 agosto. La PHP Foundation ha riferito che OpenAI aveva segnalato separatamente la stessa causa principale e ulteriori percorsi d’attacco il 18 settembre. PHP ha guidato le correzioni e la pubblicazione delle release; OpenAI ha inoltre descritto una proposta in cinque fasi per coordinare future divulgazioni. Patch the Planet esisteva già prima del caso PHP.

Il tentativo osservato prima della divulgazione

Amazon ha riferito che il 17 ottobre un tentativo di sfruttamento ha raggiunto la honeypot MadPot, un sistema-esca progettato per attirare attività malevole. Nel suo resoconto, Amazon ha detto che non era chiaro come l’autore avesse ottenuto le informazioni né se il tentativo sarebbe riuscito contro un sistema reale.