Tirate fuori il set di debug e un bel po’ di caffeina, perché il web sta per avere un momento di ansia collettiva.
Se pensavate che il vostro stack tecnologico potesse dormire sonni tranquilli durante il weekend, ho una brutta notizia per voi. È appena trapelata la notizia di un rilascio di sicurezza critico per PHP, che riguarda le vulnerabilità CVE-2026-10961 e CVE-2026-109619. Per chi non mastica codice tutto il giorno, tradotto: ci sono dei buchi nel motore che alimentano metà del web che potrebbero permettere a qualche malintenzionato di fare i fatti propri sul vostro server.
La notizia è arrivata tramite i soliti canali ufficiali e ha iniziato a circolare su Hacker News, scatenando quel tipico mix di preoccupazione e ‘ancora un altro bug?’ che caratterizza le nostre giornate. Non stiamo parlando di una banale riga di codice scritta male in un plugin di WordPress, ma di vulnerabilità che toccano il cuore del linguaggio. Quando si parla di CVE critiche, il rischio è che l’esecuzione di codice remoto diventi una realtà molto troppo semplice per chi sa dove colpire.
C’è un dettaglio che però richiede un po’ di distacco critico. La segnalazione proviene da un advisory del CERT Europa. E qui dobbiamo fare un piccolo appunto da gente che vive di open source: anche se l’allerta è autorevole, è un avviso che parte da un organismo europeo. Per noi che operiamo in Italia, o che gestiamo server in un datacenter in Germania, l’impatto diretto sulla nostra quotidianità legislativa è nullo, ma il messaggio tecnico è universale. Non è la burocrazia che vi dice cosa fare, è il codice che vi sta urlando di aggiornare.
Detto questo, non entriamo nel panico da film di spionaggio alla James Bond. Non è ancora il momento di lanciare il server nel lago, ma è il momento di tenere d’occhio il repository ufficiale di PHP. Non aspettate che la patch sia diventata un meme su Twitter. La regola d’oro rimane sempre la stessa: non appena il team di sviluppo rilascia la versione corretta, fate il deploy.
In un mondo dove tutto sembra progettato per essere fragile e dove la sicurezza viene spesso trattata come un optional post-vendita, mantenere il controllo sulle proprie dipendenze è l’unico vero atto di ribellione che ci è rimasto. Quindi, patch pronti, monitoraggio attivo e, se tutto va bene, torneremo a ignorare gli aggiornamenti di sistema fino alla prossima emergenza.
Source: Upcoming critical PHP security release (CVE-2026-109618 / -109619)