1. Identificare il PHP Web reale

Registrare ramo, revisione completa, origine, estensioni, servizio e handler. CLI e Web possono usare binari diversi. Controllare pool FPM, Apache, immagini, code e repliche. Prima delle modifiche predisporre backup, test e rollback.

2. Installare una build corretta

Prime versioni: 8.2.35, 8.3.36, 8.4.27 e 8.5.12. Scegliere un ramo supportato e aggiornare le estensioni. Testare app e controlli di salute. Usare fonti PHP o del fornitore. WAF e aggiornamenti CMS non correggono l’interprete.

Quattro rami. Un obiettivo chiaro.
Ramo PHPVersioni originali inferiori aPrima versione correttaFine supporto di sicurezza
PHP 8.5< 8.5.12✓ 8.5.1231 dic 2029
PHP 8.4< 8.4.27✓ 8.4.2731 dic 2028
PHP 8.3< 8.3.36✓ 8.3.3631 dic 2027
PHP 8.2< 8.2.35✓ 8.2.3531 dic 2026
Usi PHP 8.1 o precedenti?

Non sono previsti rilasci PHP ordinari per questi rami. Esistono backport minimi dei sorgenti per 7.4, 8.0 e 8.1. Verifica separatamente il supporto del fornitore. Leggi la guida ↗

Backport delle distribuzioni

Ubuntu, Debian e Linux aziendale possono mantenere numeri originali vecchi con revisione corretta. Un banner 8.3.6 non prova nulla da solo. Confrontare sistema, repository, architettura e revisione con ENTRAMBE le CVE. Non inventiamo soglie di pacchetti.

3. Riavviare e verificare ovunque

File nuovi non sostituiscono processi in memoria. Riavviare Apache per mod_php o i servizi e pool FPM, e worker persistenti. Verificare avvio, versione Web, revisione, salute e repliche. Rimuovere subito le pagine diagnostiche, senza phpinfo() pubblico.

Esempio di comando / INVENTORY

shell
php -v
php --ini
# Check the executable used by the Web service separately.
php-fpm -v
# On versioned installations, for example:
php-fpm8.3 -v

Guida alla correzione

Ubuntu e Debian

Identificare php*-common e il pacchetto Web.

Leggi la guida

RHEL, Rocky e AlmaLinux

Distinguere pacchetti OS, stream e repository terzi.

Leggi la guida

Docker e container

Riavviare lo stesso container non installa patch.

Leggi la guida

BaoTa e 1Panel

PHP del pannello può differire da quello OS.

Leggi la guida

WordPress e hosting gestito

Aggiornare WordPress, Drupal o Joomla non cambia PHP.

Leggi la guida

Correggere PHP2Shell in framework e CMS ↗

Fonti primarie e approfondimenti

PHP security teamSecurity advisory · 21 Oct 2026
CVE-2026-109618GHSA-w8hw-w9fx-j79w · OOM corruption
CVE-2026-109619GHSA-6wmf-4rv5-p3rp · Stale global state
Passo successivo3. Riavviare e verificare ovunque ↗