- Un’altra grave vulnerabilità di sicurezza in PHP nel 2026?26¢26%
The recent coordinated disclosure and patching of two critical PHP vulnerabilities (CVE-2026-109618 and CVE-2026-109619) on October 21 has strongly shaped trader sentiment. These CVSS 9.2 flaws enable unauthenticated remote code execution across nearly all PHP versions serving web requests, including via out-of-memory handling and stale state issues in the core runtime. Patches for supported branches (8.2.35, 8.3.36, 8.4.27, and 8.5.12) were released immediately, with demonstrated exploits and expected mass attacks prompting urgent updates from the PHP Foundation and major cloud providers. This swift remediation, combined with the absence of further confirmed critical issues in supported releases, underpins the 73.5% market-implied probability against another such flaw emerging before year-end, reflecting trader focus on these as the primary 2026 event.
Regole
Questo mercato sarà risolto su "Sì" se una vulnerabilità critica in PHP viene divulgata pubblicamente per la prima volta tra la creazione del mercato e il 31 dicembre 2026 alle 23:59 ET e soddisfa tutti i requisiti seguenti entro tale scadenza. Altrimenti, questo mercato si risolverà con "No". Per divulgazione pubblica si intendono informazioni disponibili pubblicamente sufficienti a identificare la vulnerabilità specifica, tramite un avviso ufficiale, una pubblicazione di un ricercatore, una fuga di notizie o un commit di codice pubblico. Un avviso generico su una vulnerabilità non specificata non sarà sufficiente, da solo, a soddisfare i requisiti. Una vulnerabilità divulgata pubblicamente prima della creazione del mercato non soddisferà i requisiti per il solo fatto di ricevere un identificativo CVE o un punteggio idoneo durante il periodo del mercato. Una vulnerabilità idonea deve interessare PHP stesso (l'interprete PHP e le estensioni incluse nel codice sorgente ufficiale php-src), deve avere un identificativo CVE disponibile pubblicamente e deve ricevere un punteggio base CVSS pubblicato di 9.0 o superiore (secondo qualsiasi versione CVSS) dal progetto PHP o dalla National Vulnerability Database (NVD) degli Stati Uniti. Le vulnerabilità che interessano solo versioni di PHP non più supportate o estensioni incluse opzionali saranno idonee se soddisfano comunque gli altri requisiti. Le estensioni distribuite separatamente da php-src (ad esempio tramite PECL) non saranno idonee. È sufficiente un punteggio idoneo da una delle due fonti, indipendentemente da un punteggio inferiore dell'altra fonte o secondo un'altra versione CVSS. Saranno conteggiati solo i punteggi pubblicati dalla stessa NVD (attribuiti a NIST) o dal progetto PHP; i punteggi visualizzati dalla NVD ma attribuiti a qualsiasi altra organizzazione non saranno idonei. Una volta soddisfatti tutti i requisiti durante il periodo del mercato, le successive revisioni dei punteggi non influiranno sulla risoluzione. CVE-2026-109618 e CVE-2026-109619 ("PHP2Shell") non saranno idonei. Le vulnerabilità di software di terze parti scritto in PHP o eseguito su PHP (ad esempio, WordPress, Laravel, Drupal, plugin o altri framework e librerie) non saranno considerate valide. La fonte primaria per la risoluzione di questo mercato sarà costituita dalle informazioni ufficiali del progetto PHP (inclusi php.net e gli avvisi di sicurezza di php-src su GitHub) e dalla NVD (https://nvd.nist.gov); tuttavia, potrà essere utilizzato anche il consenso delle fonti giornalistiche attendibili.
Traduzione automatica. In caso di controversia, fa fede l'originale.