FrankenPHP 1.13.5 chiude 17 falle, una High: aggiorna anche se sei già alla 1.13.3

FrankenPHP ha pubblicato due release di sicurezza a dieci giorni di distanza: la 1.13.4 il 26 ottobre 2026, con 7 avvisi, e la 1.13.5 il 5 novembre 2026, con altri 17. In tutto sono 24 avvisi, e due sono di gravità High.

Perché ti riguarda: nel pezzo del 6 novembre ti avevamo indicato la 1.13.3. Da allora sono uscite due versioni e quella da installare oggi è la 1.13.5. Se ti eri fermato alla 1.13.3, sei esposto a entrambe le falle High (la seconda solo in worker mode).

Nella 1.13.5 la falla più seria riguarda php_server. In certi percorsi un file che non è PHP poteva essere eseguito come codice PHP, e chi riesce a caricare un file nella document root poteva sfruttarla. Nella 1.13.4 la High era un crash: in worker mode bastava una sola richiesta, senza autenticazione, per far cadere l’intero processo.

Avviso	Gravità (GitHub, CVSS 3.1)	Cosa succede	Colpite	Corretta
GHSA-j99q-3wr8-xj43	High, 7.5	php_server esegue come PHP file che non lo sono	fino alla 1.13.4	1.13.5
GHSA-5f4m-ff4w-g458	High, 7.5	crash del processo in worker mode con un header insolito e una disconnessione	1.13.2 e 1.13.3	1.13.4
GHSA-jvmv-5538-pqpg	Medium, 4.3	open redirect nel redirect con slash finale di php_server	fino alla 1.13.4	1.13.5
GHSA-2725-rh2w-9j9w	Medium, 4.8	in HTTP/2 $_SERVER['HTTP_HOST'] può differire dall’host instradato da Caddy	fino alla 1.13.4	1.13.5
GHSA-5359-vg53-5464	Medium, 5.9	crash (segmentation fault) quando l’avvio della richiesta fallisce	fino alla 1.13.4	1.13.5
GHSA-j45x-h238-h4xx	Medium, 5.3	request_body_timeout non ferma i body lenti, che bloccano i thread PHP	dalla 1.12.5 alla 1.13.4	1.13.5
Altri 18 avvisi	10 Medium, 8 Low	worker mode, env, named route, app embedded, API sperimentali	varie	1.13.4 o 1.13.5

Tutti gli avvisi della 1.13.5 sono datati 5 novembre 2026, quelli della 1.13.4 26 ottobre 2026. Secondo il progetto, a parte il crash con gli header, le falle corrette nella 1.13.4 non erano sfruttabili nelle configurazioni comuni, app Symfony e Laravel comprese: servono codice applicativo particolare o configurazioni avanzate. Le falle Medium della tabella, invece, toccano la configurazione di default di php_server.

La 1.13.4 sistema anche le dipendenze. Le immagini Docker e i build Windows includono una Brotli corretta contro CVE-2026-111497. I binari Windows e macOS sono compilati con Go 1.27.3, che corregge alcune vulnerabilità della libreria standard di Go.

Leggi anche: FrankenPHP 1.13.2 porta le patch per le RCE di PHP · l’allerta sulle RCE di PHP di ottobre 2026