Vulnerabilità · 2 ore fa
Per PHP, trovare le applicazioni esposte è già il passaggio decisivo: il team ha annunciato due vulnerabilità critiche e fissato il rilascio delle correzioni al 21 ottobre 2026 alle 14:00 UTC. Secondo CERT-EU, informazioni trapelate indicano che le falle potrebbero consentire RCE senza autenticazione e riguardare tutte le versioni dalla 5 in poi. Non sono ancora disponibili dettagli tecnici né versioni corrette.
Senza una descrizione tecnica non è possibile stabilire quali configurazioni siano vulnerabili. La portata riferita comprende però applicazioni PHP legacy, anche se dimenticate o assenti dagli inventari correnti, purché raggiungibili da Internet.
Non risultano sfruttamenti confermati. La completezza dell'inventario determinerà se le correzioni potranno raggiungere anche i sistemi meno visibili, non solo i servizi già gestiti.
6 fonti che coprono questa storia
PHP2Shell: Two Unpatched Critical PHP RCE Flaws (CVSS 9.2) Trigger Emergency Security Alert
PHP2Shell involves two critical PHP RCE flaws rated CVSS 9.2, with emergency fixes scheduled following a disclosure leak.
A critical PHP security release is coming today, so get ready to update! - Help Net Security
A critical PHP security release is due 21 October at 14:00 UTC, fixing two CVSS 9.2 flaws. Here’s what site owners should do to prepare now.
PHP warns it plans to release 2 emergency patches imminently
Unconfirmed report claims PHP2Shell exploit remotely executes code on PHP sites.
PHP Announces Critical Security Release for Two Vulnerabilities | Qualys
On October 20, 2026, the PHP security team announced an upcoming security release addressing two critical vulnerabilities, each rated CVSS v4.0 9.2. The release is scheduled for October 21, 2026…
PHP warns admins of two critical flaws, emergency patches coming tomorrow
The PHP security team is warning administrators to prepare for emergency security updates tomorrow to address two critical vulnerabilities, as information about the flaws has reportedly leaked ahead of their scheduled disclosure.
Part of the PlainSec briefing for 2026-10-21