Immaginate di aver costruito la vostra fortificazione digitale, un castello di codice solido, testato e, con un po’ di fatica, finalmente stabile. Poi, un mattino, vi svegliate e scoprite che la porta principale non ha nemmeno la serratura, ma è solo un pezzo di cartone bagnato dalla pioggia. Ecco, grosso modo, quello che sta succedendo se siete ancora aggrappati a PHP 8.2.
Il team di sviluppo ha appena rilasciato la versione 8.2.35 e, contrariamente a quanto si possa pensare, non si tratta di una release con qualche piccola ottimizzazione per far correre i vostri script un millisecondo più velocemente. No, siamo in territorio ‘critical’. Sono state scoperte due vulnerabilità, la CVE-2026-109618 e la CVE-2026-109619, che permettono l’esecuzione remota di codice (RCE) senza bisogno di alcuna autenticazione. In parole povere: un malintenzionato potrebbe prendere il controllo del vostro server semplicemente inviando una richiesta ben piazzata. Praticamente come lasciare le chiavi di casa attaccate alla porta con un cartello con scritto «Entrate pure, sono in pausa caffè».
Non c’è spazio per i workaround creativi o per i trick da sistemista che cerca di patchare il problema con qualche regola strana nel firewall o un modulo WAF miracoloso. Il comunicato ufficiale è stato brutale quanto necessario: l’unico modo sicuro per dormire sonni tranquilli è aggiornare. Se state gestendo infrastrutture critiche o semplicemente non volete che il vostro server diventi parte integrante di una botnet di zombie per attacchi DDoS globali, muovetevi.
E qui arriva la nota dolente, quella che fa sempre un po’ scorrere il sangue freddo tra noi che amiamo la stabilità. Il supporto per la serie 8.2 giungerà al termine il 31 dicembre 2026. Avete letto bene. Tra poco meno di due anni, questa versione diventerà un relitto digitale senza più ricevere patch di sicurezza. Non è una strategia di obsolescenza programmata orchestrata da una multinazionale per costringervi a pagare licenze, sia chiaro, è il ciclo naturale del software open source. Tuttavia, la pressione per migrare verso versioni più recenti e supportate si farà sentire.
Quindi, un consiglio da amico: non aspettate che il 2027 busse alla vostra porta con una nota di violazione dei dati. Controllate i vostri ambienti, testate la compatibilità con le versioni più recenti e fate questo update subito. La sicurezza non è un optional che si può rimandare al prossimo sprint, a meno che non vi piaccia l’idea di dover ricostruire tutto da zero dopo un attacco massiccio.
Source: PHP 8.2.35