Due critici PHP Le vulnerabilità hanno portato ad aggiornamenti di emergenza su tutte le piattaforme di hosting. Se il tuo sito web utilizza PHP, verifica con il tuo host oggi stesso Aggiornamento WordPress, un tema o un plugin non installa questi PHP fissa.
PHP Le correzioni sono state rilasciate il 21 ottobre. Le vulnerabilità, CVE-2026-109618 e CVE-2026-109619, possono consentire a un utente malintenzionato di eseguire codice sui server vulnerabili senza effettuare l'accesso. PHP avverte che tutte le installazioni che gestiscono richieste web sono a rischio. Ciò include PHP-FPM, Apache con mod_php, CGI, FrankenPHP e LiteSpeed.
La risposta ha coinvolto fornitori di software, piattaforme gestite e singoli provider di hosting. Alcuni hanno emesso avvisi ai clienti. Altri hanno pubblicato istruzioni per l'applicazione di patch o hanno segnalato interventi di manutenzione e aggiornamenti graduali. Durante le nostre verifiche, abbiamo anche ricevuto e-mail e chiesto ai team di supporto dei provider di hosting informazioni sulla loro risposta.
Leggi il funzionario PHP consulenza sulla sicurezza
Quale PHP Le versioni necessitano di una correzione
Le release fisse a monte sono:
| PHP Branch di società | Rilascio fisso |
|---|---|
| 8.2 | 8.2.35 |
| 8.3 | 8.3.36 |
| 8.4 | 8.4.27 |
| 8.5 | 8.5.12 |
Questi aggiornamenti risolvono entrambe le vulnerabilità. Apache con mod_php ha il rischio più alto identificato da PHP team. Il suo avviso descrive un attacco dimostrato che può essere eseguito prima dell'avvio del codice dell'applicazione.
Un numero di versione inferiore non significa necessariamente che un pacchetto di un fornitore rimanga vulnerabile. Alcuni fornitori applicano correzioni di sicurezza alle versioni precedenti, un processo chiamato backporting. Richiedi la revisione del pacchetto installato e la conferma che copra entrambe le CVE.
PHP 8.1 e versioni precedenti non ricevono più aggiornamenti di sicurezza regolari da PHP progetto. La copertura del fornitore deve essere verificata separatamente. PHP Il supporto di sicurezza per la versione 8.2 terminerà il 31 dicembre 2026.
Come hanno reagito i provider di hosting e cPanel
Gli avvisi pubblici riportati di seguito descrivono diverse parti della risposta. Il rilascio di un pacchetto da parte di un fornitore non garantisce che ogni host lo abbia installato. La segnalazione di completamento da parte di un host si applica all'ambito del servizio specificato nell'avviso.
| Fornitore o piattaforma | Risposta registrata pubblicamente | Cosa dovrebbero controllare i proprietari dei siti web |
|---|---|---|
| cPanel | cPanel ha pubblicato build di cPanel e WHM patchate e EasyApache PHP pacchetti. Il suo avviso elenca separatamente i pacchetti CloudLinux, comprese le correzioni retroportate con versioni precedenti PHP numeri di versione. | Chiedi all'amministratore di controllare sia il pannello di controllo che il PHP pacchetti che servono il sito web. Consulta l'elenco dei pacchetti del fornitore pertinente. Avviso relativo a cPanel |
| CloudLinux | CloudLinux ha segnalato che Easy è stato correttoApache e pacchetti alt-php disponibili per piattaforme specifiche. Alcuni sistemi operativi nativi PHP I pacchetti sono stati distribuiti gradualmente. | Verifica la famiglia di pacchetti e il repository utilizzati dal tuo server. La disponibilità del pacchetto richiede comunque l'installazione e il riavvio del servizio corrispondente. Aggiornamento di CloudLinux |
| Cloudways | Cloudways Sono state segnalate protezioni provvisorie e un'implementazione graduale. Le applicazioni Autonomous sono state aggiornate alle 9:02 del 22 ottobre. L'aggiornamento delle 15:03 indicava che la maggior parte dei server era stata aggiornata e che il lavoro rimanente sarebbe dovuto terminare entro le 17:00. | Alla data limite per la segnalazione, il completamento dell'intera implementazione non era ancora stato confermato. Verifica l'aggiornamento più recente sull'incidente e il prodotto che ospita la tua applicazione. Cloudways PHP incidente |
| AltusHost | Il 21 ottobre AltusHost ha pubblicato un avviso in cui illustrava le vulnerabilità e le diverse responsabilità relative all'hosting condiviso, gestito e non gestito. | Verifica lo stato del tuo servizio. La sola data di pubblicazione dell'avviso non indica con precisione quando l'operazione sarà completata su tutti i server. Avviso di AltusHost |
| Serverfreak | L'avviso di Serverfreak del 22 ottobre affermava che tutti i server condivisi erano stati aggiornati. Descriveva inoltre le patch applicabili ai server gestiti e avvertiva che le correzioni retroportate potrebbero lasciare il visualizzato PHP versione invariata. | Verifica se il tuo servizio è condiviso, gestito o autogestito. I clienti con un servizio autogestito rimangono responsabili dell'aggiornamento dei propri server. Avviso di Serverfreak |
| Qikify | Lo sviluppatore dell'app Shopify ha affermato che tutte le sue app erano aggiornate PHP In produzione dalle 11:07 del 22 ottobre. | Questa dichiarazione riguarda le app di Qikify. Non stabilisce lo stato delle patch della piattaforma principale di Shopify o delle app di altri sviluppatori. Avviso di Qikify |
Cloudways La manutenzione del sito web e l'applicazione delle patch ai clienti erano eventi separati.
Durante la notte del 21 ottobre in Malesia, abbiamo visto Cloudways reindirizzare il suo sito web pubblico alla pagina di stato. CloudwaysIl registro pubblico degli incidenti di conferma che il suo sito web e il portale degli affiliati sono diventati non disponibili mentre PHP Sono state applicate delle patch. È stato segnalato che entrambi i servizi sono stati ripristinati alle 3:48 del mattino del 22 ottobre (source).
Tale incidente dovrebbe essere distinto dal cliente PHP lancio (tutti i dettagli qui). Cloudways È stato segnalato il completamento delle patch per le applicazioni Autonomous, mentre gli aggiornamenti Flexible sono proseguiti. Le relative comunicazioni non attestano che tutti i siti web dei clienti siano andati offline.
Cosa abbiamo ricevuto e sentito dai fornitori di hosting web
Abbiamo ricevuto email di avvertimento da AltusHost, Atlantic.Net, DigitalOcean, Shopify:e Bionico WPQuesti messaggi fanno parte della nostra documentazione diretta su come i fornitori hanno comunicato il problema. La ricezione di un avviso conferma che il fornitore ha inviato un avvertimento; la formulazione del messaggio determina se esso conferma anche l'avvenuto aggiornamento.
Durante le conversazioni di supporto la mattina del 22 ottobre, ora della Malesia, i rappresentanti di Serverfreak, TMDHosting, Kinsta, Flashcloud, HostPapae ScalaHosting Ci hanno comunicato che l'aggiornamento era stato completato. Si tratta di conferme di supporto per i servizi in questione. Non abbiamo effettuato un audit indipendente di ogni singolo server gestito da questi fornitori.
Durante i nostri controlli, gli scambi di informazioni hanno mostrato risposte rapide. Tuttavia, ciò non consente di stabilire una classifica dei fornitori che hanno applicato per primi le patch. Un confronto equo richiederebbe ambiti di servizio analoghi e tempi di completamento confermati.
Cosa dovresti fare oggi
- Identificare il PHP ambiente al servizio del tuo sito. Controlla il pannello di controllo del tuo hosting. WordPress Gli utenti possono aprire Strumenti → Stato del sito → Informazioni → Server. Chiedi al tuo provider di hosting se la versione visualizzata corrisponde al sito web attivo.
- Confermare che entrambe le vulnerabilità CVE siano state risolte. Richiedi il pacchetto o la build installata, l'ambito del servizio interessato e l'ora di completamento. Per i server autogestiti, l'amministratore deve installare gli aggiornamenti del fornitore appropriati.
- Verifica ogni applicazione e server pertinenti. Includi sottodomini, siti di staging e altri PHP applicazioni. Chiedere se altri server o worker necessitano ancora dell'aggiornamento.
- Eseguire il backup e testare le funzioni essenziali. Conservate una copia aggiornata dei vostri file e del database. Dopo l'applicazione delle patch e il riavvio dei servizi necessari, verificate gli accessi, i moduli, le procedure di pagamento e le attività pianificate.
- Aumentare i ritardi. PHP afferma che le misure temporanee non forniscono una protezione completa. Chiedi al tuo amministratore informazioni sulle misure ufficiali in vigore e se il servizio interessato dovrebbe essere temporaneamente limitato o disattivato.
Puoi inviare questa domanda al tuo host:
Ha ogni PHP L'ambiente che ospita il nostro sito web è stato aggiornato per le vulnerabilità CVE-2026-109618 e CVE-2026-109619? Si prega di confermare il pacchetto o la build in esecuzione, i servizi interessati e la data di completamento dell'aggiornamento.
Per questo problema, una conferma utile indica il servizio interessato e la soluzione attualmente in esecuzione. Conserva questa conferma insieme ai registri di manutenzione del tuo sito web.
Note:Termine ultimo per la presentazione dei dati: 22 ottobre 2026, ore 4:23 (fuso orario della Malesia, corrispondente alle 08:23 UTC). Tutti gli orari riportati di seguito si riferiscono all'ora della Malesia, salvo diversa indicazione.
