Il 21 ottobre 2026 OpenAI ha presentato una proposta in cinque fasi per coordinare le risposte a vulnerabilità critiche. Nello stesso contesto, l’archivio ufficiale di PHP identifica due falle che possono consentire l’esecuzione di codice da remoto senza autenticazione e indica le release che le correggono: PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35.
Le due falle e i server coinvolti
Secondo PHP, CVE-2026-109618 riguarda la gestione di un esaurimento della memoria: una richiesta può interrompersi mentre alcuni dati interni sono inizializzati solo in parte, e la successiva procedura di pulizia può trattarli come validi. CVE-2026-109619 riguarda invece uno stato interno della richiesta che resta utilizzabile dopo che la memoria su cui si basava è stata liberata; una richiesta successiva, gestita dallo stesso processo worker, può accedere a quello stato obsoleto.
PHP indica come potenzialmente esposte tutte le installazioni che gestiscono richieste web, comprese quelle basate su PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed. Fra queste configurazioni, PHP considera mod_php quella a rischio più elevato.
Le release PHP che correggono le vulnerabilità
L’archivio ufficiale di PHP elenca le release correttive. Per il dettaglio delle versioni e delle CVE, NeoTeo ha già raccolto le release PHP che risolvono le due falle.
| Ramo PHP | Release correttiva |
| PHP 8.5 | PHP 8.5.12 |
| PHP 8.4 | PHP 8.4.27 |
| PHP 8.3 | PHP 8.3.36 |
| PHP 8.2 | PHP 8.2.35 |
PHP precisa che le misure temporanee possono ridurre l’esposizione a specifici percorsi d’attacco, ma non rendono sicura un’installazione. L’aggiornamento alla release corretta è la soluzione completa. PHP 8.1 e i rami precedenti non ricevono più aggiornamenti direttamente dal progetto; per alcune versioni esistono backport del codice sorgente, mentre la disponibilità di pacchetti corretti dipende dai distributori e dai fornitori di supporto.
Le cinque fasi proposte da OpenAI
OpenAI descrive il modello come una proposta per rispondere alle vulnerabilità critiche nei software molto diffusi. Le fasi indicate sono:
- Convalidare la vulnerabilità e preparare una correzione nel progetto d’origine, con verifiche del mantenitore, dei ricercatori e dei partner tecnici.
- Lasciare alle organizzazioni interessate il tempo di prepararsi, coinvolgendo quelle che possono contribuire alla protezione prima della divulgazione.
- Coordinarsi con partner governativi per aiutare a proteggere sistemi critici e servizi essenziali.
- Preparare aggiornamenti per i prodotti interessati, coinvolgendo distributori, fornitori di servizi e operatori.
- Pubblicare raccomandazioni e sostenere l’installazione delle correzioni una volta disponibile la patch.
OpenAI afferma che i manutentori deciderebbero chi coinvolgere prima della divulgazione. Il modello prevede inoltre di rivalutare i tempi in caso di sfruttamento attivo, fuga di dettagli, pubblicazione di una patch che riveli la vulnerabilità o aumento del rischio per gli utenti dovuto ai ritardi.
A chi attribuisce OpenAI le scoperte
Nel suo resoconto, OpenAI afferma che Calif ha individuato una delle falle usando GPT-5.6 Sol e che Wiz ha scoperto e segnalato entrambe le vulnerabilità in modo indipendente. OpenAI attribuisce ai manutentori di PHP la guida delle correzioni e della loro pubblicazione; cita inoltre Wiz e Cloudflare fra i partner che hanno contribuito con ricerca, supporto tecnico e coordinamento.
OpenAI ha anche dichiarato un impegno di 1 miliardo di dollari per sovvenzionare l’accesso a Daybreak tramite Daybreak for Frontline Defenders, rivolto alle organizzazioni che proteggono servizi essenziali e dispongono di risorse di sicurezza limitate.
