Se avete aggiornato il sito della vostra azienda a PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35 dopo la falla PHP2Shell, avete fatto bene, ma non basta a coprire tutto. Il 23 ottobre 2026 il progetto PHP ha pubblicato un nuovo avviso su una terza falla, la CVE-2026-115560, che l'aggiornamento del 21 ottobre non corregge. Richiede una configurazione insolita e PHP la considera una via improbabile, ma il rimedio temporaneo è semplice: chiedete oggi al vostro team o al vostro hosting di impostare session.upload_progress.enabled a 0 e riavviare PHP, poi fatevi confermare per iscritto che l'aggiornamento del 21 ottobre è stato davvero applicato.

Che cosa ha annunciato PHP il 23 ottobre?

Due giorni dopo la versione d'emergenza, il progetto ha pubblicato un breve avviso informativo sul monitoraggio dell'«avanzamento del caricamento» nelle sessioni, la funzione che mostra all'utente a che punto è il caricamento di un file grande. L'avviso spiega che questa funzione può aprire una via di esecuzione di codice da remoto in un caso preciso, e che la correzione arriverà con la prossima versione regolare e non come aggiornamento d'emergenza, insieme a un avviso completo sulla falla.

Per un imprenditore contano due punti. Primo, si tratta di una falla distinta, quindi usare una delle quattro versioni indicate non basta da solo. Secondo, la stessa misura temporanea compariva già nell'avviso sulla CVE-2026-109619 del 21 ottobre. Se il vostro team l'ha applicata allora, non serve nulla di nuovo: lasciatela attiva.

Il vostro sito è esposto?

Secondo l'avviso di PHP, il problema compare solo quando si verificano tre condizioni insieme:

  • La configurazione di PHP imposta session.serialize_handler su php_binary o php_serialize.
  • Il codice dell'applicazione lo cambia in php durante l'esecuzione con ini_set() prima di avviare la sessione.
  • Il monitoraggio dell'avanzamento del caricamento è ancora attivo, come avviene di default.

La maggior parte dei siti non lo fa. Il problema è che un titolare sa raramente cosa fa ogni riga di un sistema costruito anni fa o di un vecchio plugin. Per questo la scelta più sicura è questa: se il vostro sito non mostra una barra di avanzamento durante il caricamento dei file, disattivare la funzione non rompe nulla e chiude la porta. Se invece ne dipende, chiedete ai vostri sviluppatori se il codice modifica quell'impostazione durante l'esecuzione.

Tre giorni dopo: verificate che l'aggiornamento del 21 ottobre sia davvero in funzione

Le falle originali, CVE-2026-109618 e CVE-2026-109619, restano il rischio maggiore. L'Autorità nazionale saudita per la sicurezza informatica (NCA) ha emesso l'avviso n. 2026-7949 al riguardo, e l'agenzia statunitense CISA ha consigliato di censire tutti i sistemi PHP, correggere prima quelli esposti a Internet e scollegare un sistema se non si può correggere subito. La CISA ha dichiarato di non aver osservato sfruttamenti riusciti al momento della pubblicazione, il che non significa che il tempo giochi a vostro favore.

Tre punti che molti trascurano:

  • Riavviare, non ricaricare. Il bollettino di Red Hat precisa che le modifiche alla configurazione richiedono il riavvio dei processi PHP e che un semplice ricaricamento non basta.
  • Il numero di versione può essere diverso sui server Linux. L'annuncio di PHP dice che le distribuzioni Linux hanno ricevuto le patch in anticipo, quindi potreste vedere un numero diverso da 8.5.12, per esempio, anche se la correzione è presente. Chiedete al vostro hosting una conferma scritta, non solo un numero. Red Hat segnala che RHEL 8, 9 e 10 sono tutti interessati.
  • Il modo in cui gira PHP cambia il rischio. Il progetto PHP ritiene il rischio più alto con mod_php su Apache, mentre Red Hat afferma che lo sfruttamento è più difficile in pratica con PHP-FPM predefinito. Più difficile non vuol dire impossibile, quindi l'aggiornamento serve in entrambi i casi.

5 domande da inviare oggi al vostro hosting o al vostro team

  1. Quale versione di PHP gira su ciascuno dei nostri siti e sistemi, e include le correzioni del 21 ottobre 2026?
  2. I processi PHP sono stati riavviati dopo l'aggiornamento, e non solo ricaricati?
  3. Abbiamo impostato session.upload_progress.enabled a 0? Se no, ci serve davvero questa funzione?
  4. Il codice del nostro sito modifica session.serialize_handler durante l'esecuzione?
  5. Abbiamo qualche sito sulla 8.1 o precedente? Quei rami non sono più supportati, e la tabella delle versioni supportate indica che il supporto di sicurezza della 8.2 termina il 31 dicembre 2026.

Il punto di vista di Origami

Tre avvisi in tre giorni sono normali dopo una falla grave: quando i ricercatori scavano in una parte del linguaggio, trovano anche ciò che sta accanto. Ma questo dice qualcosa anche sulle aziende. Chi ha corretto il 21 e ha chiuso la pratica si perderà l'avviso del 23. Qui la sicurezza è un monitoraggio continuo, non un compito che si chiude una volta per tutte.

Quello che vediamo nelle aziende saudite è che la domanda difficile non è «qual è la falla?», ma «chi, da noi, legge un avviso di PHP un venerdì mattina e sa quale server è il nostro?». In Origami realizziamo siti web e sistemi e ne seguiamo gli aggiornamenti fin dal primo giorno. Se volete far controllare il vostro sito, o applicare queste impostazioni senza interruzioni del servizio, contattateci.

In sintesi

L'aggiornamento del 21 ottobre è indispensabile e resta la priorità; il nuovo avviso non cambia questo. Aggiungete oggi un passo poco costoso: disattivate il monitoraggio dell'avanzamento del caricamento se non vi serve, riavviate PHP e ottenete una conferma scritta dal vostro hosting. Poi tenete d'occhio la prossima versione regolare di PHP, che porterà la correzione definitiva della CVE-2026-115560.

Fonti