FrankenPHP 1.13.2 porta le patch per le RCE di PHP: aggiorna alla 1.13.5

Le immagini Docker e i binari statici di FrankenPHP 1.13.2 contengono le versioni di PHP che chiudono CVE-2026-109618 e CVE-2026-109619. La stessa release corregge quattro avvisi propri. Ultima versione: 1.13.5.

FrankenPHP 1.13.2, uscita il 21 ottobre 2026, ricompila le immagini Docker e i binari statici con le versioni di PHP che chiudono CVE-2026-109618 e CVE-2026-109619, le due falle critiche che permettono l’esecuzione remota di codice senza autenticazione.

Perché ti riguarda: FrankenPHP si porta PHP in valigia. Il PHP che esegue il tuo codice sta dentro l’immagine o dentro il binario, quindi la patch ti arriva solo se aggiorni FrankenPHP.

Gli avvisi di FrankenPHP, con la gravità indicata negli advisory del progetto su GitHub:

Avviso	Gravità	Corretto in	Cosa succede
GHSA-6q3j-62j9-f9hh	High (CVSS 3.1: 7.0)	1.13.2	Con un’app incorporata nel binario, un utente locale può far eseguire il proprio PHP al posto di quello originale
GHSA-fq24-r53r-xcx3	Moderate (CVSS 3.1: 5.3)	1.13.2	Le richieste in coda vengono eseguite anche dopo che il client si è disconnesso, e intanto occupano thread e memoria
GHSA-ccgp-ch9h-533f	Moderate (CVSS 3.1: 5.9)	1.13.2	Un array con riferimenti circolari, convertito in Go, fa cadere l’intero processo
GHSA-4gfw-9v29-gp9h	Low (CVSS 3.1: 3.7)	1.13.2	In worker mode gli errori libxml di una richiesta restano leggibili da quella successiva
GHSA-868c-7h7m-mmj9	High (CVSS 3.1: 8.1)	1.13.0	Su Windows un percorso costruito ad arte può uscire dalla document root
GHSA-qcrp-8483-f2f2	High (CVSS 4.0: 8.3)	1.13.0	Un header con dei punti nel nome può farsi passare per un header fidato, come `X-Forwarded-For`

FrankenPHP 1.13.2 porta le patch per le RCE di PHP: aggiorna alla 1.13.5

Fonti