PhpSpreadsheet, quattro falle sui fogli caricati: corrette a settembre in 5.10.0 e nei rami vecchi

Il 27 ottobre 2026 il GitHub Advisory Database ha pubblicato quattro avvisi di sicurezza su phpoffice/phpspreadsheet: tre di gravità High e uno Moderate. Le correzioni però erano già uscite il 17 settembre, con una nota di una riga: “Security patches”.

Perché ti riguarda: se la tua applicazione apre fogli di calcolo caricati dagli utenti (XLSX, ODS o SpreadsheetML), un file preparato ad arte può bloccarti il server. In certe configurazioni può anche fargli leggere file locali o fargli chiamare indirizzi interni. Chi ha aggiornato a settembre è a posto, chi è fermo prima no.

Avviso	CVE	Gravità (GitHub)	Cosa succede
GHSA-rxj4-h86g-25gc	CVE-2026-108357	High, CVSS 4.0 8.8	Il controllo anti-XXE sui file SpreadsheetML poteva essere aggirato
GHSA-3x94-m842-937c	CVE-2026-108358	High, CVSS 4.0 8.8	Lo stesso controllo poteva essere aggirato nei file XLSX
GHSA-j2w7-387v-m2rq	CVE-2026-108359	High, CVSS 4.0 8.7	Un file ODS minuscolo poteva far creare milioni di celle ed esaurire la memoria
GHSA-2phh-27fw-q4gc	CVE-2026-108360	Moderate, CVSS 3.1 6.4	La whitelist delle immagini esterne non veniva ricontrollata dopo un redirect (SSRF “cieca”)

Nei due bypass XML il rischio dipende dall’ambiente. Il DoS, cioè l’espansione di entità che gonfia la memoria, funziona su tutte le versioni di PHP. Lettura di file locali e SSRF via XXE, secondo gli avvisi, valgono invece sulle versioni di PHP precedenti alla 8.0 oppure se usi LIBXML_NOENT.

A cosa aggiornare

Ramo	Versioni colpite	Versione corretta
1.x	fino a 1.30.6	1.30.7
2.0–2.1	fino a 2.1.18	2.1.19
2.2–2.4	fino a 2.4.7	2.4.8
3.x	da 3.3.0 a 3.10.7	3.10.8
4.x–5.x	fino a 5.9.0	5.10.0

Le note di rilascio di 1.30.7, 2.1.19 e 2.4.8 annunciano che quei rami riceveranno patch di sicurezza solo fino al 28 febbraio 2027. Se sei lì, mettiti in agenda il salto alla 5: il foglio di calcolo più difficile da aprire è quello della migrazione rimandata.

Leggi anche: FrankenPHP 1.13.5 chiude 17 falle · il Radar di novembre 2026