Come atteso, sono state rilasciate le patch, su php.net ognuna per la propria release:
https://www.php.net/archive/2026.php#2026-10-21-4
https://www.php.net/archive/2026.php#2026-10-21-3
https://www.php.net/archive/2026.php#2026-10-21-2
https://www.php.net/archive/2026.php#2026-10-21-1
Come già detto, versioni precedenti non sono più supportate
#php2shell
Due importanti CVE su #PHP, tutte le versioni dalla 5.4 in avanti.
In attesa della patch di questo pomeriggio, ore 16 in Italia, meglio iniziare a mitigare e questo è un ottimo modo se utilizzi PHP in produzione.
https://mrnicetry.com/posts/two-critical-php-cves-land-tomorrow-what-im-doing-right-now#what-we-know-and-what-we-dont
PS: ovviamente le patch saranno applicate unicamente alle versioni che supportano gli aggiornamenti di sicurezza, che significa dalla 8.2 in su, tutte le versioni <= PHP 8.1 non riceveranno patch e dovranno convivere con le mitigazioni se non si può aggiornare il server.
Ovviamente i PoC sono già online e liberamente scaricabili da ore, li sto raccogliendo qui
https://internet-forum.it/d/5247-vulnerabilita-php2shell-un-grande-impatto