- Cosa può fare
- Un attaccante, senza credenziali, invia richieste costruite per provocare errori di memoria nell'interprete PHP e prendere il controllo del processo che esegue il sito. Da lì può eseguire comandi sul server.
- Cosa mette in pericolo
- Siti web, e-commerce, gestionali e portali scritti in PHP (WordPress, Joomla, Drupal, PrestaShop, applicazioni su misura) e i dati che contengono: database clienti, credenziali, file. Un server compromesso può essere usato per entrare nella rete aziendale o per attaccare altri.
- Chi è colpito
- PHP dalla versione 5.4 alla 8.5, in qualunque configurazione che serve pagine web (PHP-FPM, Apache mod_php, php-cgi, LiteSpeed, FrankenPHP). Il rischio è più alto con Apache mod_php.
Cosa fare
- Aggiornare PHP alle versioni corrette: 8.2.35, 8.3.36, 8.4.27 o 8.5.12 (o ai pacchetti aggiornati della propria distribuzione/hosting).
- PHP 7.4, 8.0 e 8.1 non hanno una release ufficiale corretta: servono pacchetti con supporto esteso della distribuzione, altrimenti migrare a una versione supportata. PHP 7.3 e precedenti non verranno corretti.
- Se non si può aggiornare subito, limitare l'esposizione su internet dei sistemi interessati: secondo PHP nessuna modifica di configurazione mitiga completamente il problema.
- Chiedere conferma scritta a hosting e fornitori del sito della versione PHP in uso.
- Controllare i log e i file del sito alla ricerca di modifiche sospette dal 17 ottobre 2026 in poi.
Il 23 ottobre 2026 il progetto PHP ha segnalato un'ulteriore vulnerabilità (CVE-2026-115560), non ancora corretta nelle versioni sopra: la scheda verrà aggiornata quando sarà disponibile la correzione.