Il 21 ottobre 2026 PHP ha rilasciato un aggiornamento di sicurezza urgente per PHP2Shell: due vulnerabilità critiche (CVE-2026-109618 e CVE-2026-109619, punteggio 9,2) che permettono di eseguire codice sul server con una semplice richiesta web, senza autenticazione. Riguardano quasi ogni sito e applicazione scritti in PHP, compresi WordPress, Joomla, Drupal, Magento e molti gestionali web. Ecco come capire se sei coinvolto e cosa fare oggi.
Cosa è successo
Il 20 ottobre il team di sicurezza di PHP ha annunciato un rilascio straordinario per due vulnerabilità di tipo remote code execution (RCE), e il giorno dopo ha pubblicato le versioni corrette.[PHP.net] Il problema è nel motore di PHP stesso, non in un plugin o in un’applicazione: per questo sono coinvolte tutte le installazioni che servono pagine web, con PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP o LiteSpeed. Il rischio più alto è con mod_php, dove l’attacco parte prima ancora che venga eseguito il codice del sito.[Advisory PHP]
Cloudflare segnala i primi tentativi di attacco e ha attivato regole di protezione temporanee, mentre online circolano exploit dimostrativi, non tutti verificati.[Tenable] In pratica: il tempo tra la pubblicazione di una falla così e i primi attacchi automatici su larga scala si misura in giorni, non in mesi.
| Versione di PHP | Versione corretta | Note |
|---|---|---|
| 8.5 | 8.5.12 | Supportata |
| 8.4 | 8.4.27 | Supportata |
| 8.3 | 8.3.36 | Supportata |
| 8.2 | 8.2.35 | Fine del supporto il 31 dicembre 2026 |
| 8.1 e precedenti | Nessun rilascio ufficiale | Solo correzioni minime nel codice sorgente o patch della tua distribuzione Linux |
Le distribuzioni Linux possono correggere la falla mantenendo un numero di versione diverso: in quel caso fa fede il bollettino di sicurezza della distribuzione.
Sono coinvolto?
Se la tua azienda ha un sito, un e-commerce, un portale clienti, un’intranet o un gestionale web, è molto probabile che almeno uno di questi giri su PHP. Le domande da farsi sono tre:
- Chi gestisce il server? Con un hosting condiviso l’aggiornamento spetta al provider: chiedigli conferma scritta. Con un VPS, un server dedicato o un server in sede tocca a te o al tuo fornitore IT.
- Che versione gira? In WordPress la trovi in Strumenti → Salute del sito → Info → Server. In Plesk nelle impostazioni PHP del dominio, in cPanel nella sezione di selezione della versione PHP. Da riga di comando basta
php -v. - Quanti sistemi hai davvero? Spesso oltre al sito principale ci sono vecchi siti di campagne, ambienti di test, applicazioni in container o portali di fornitori dimenticati. Sono proprio quelli che nessuno aggiorna.
Cosa fare subito
- Aggiorna PHP a una delle versioni corrette, oppure installa i pacchetti aggiornati della tua distribuzione. Se il server non è tuo, chiedi al provider o al fornitore IT entro quando lo fa e fatti confermare l’avvenuto aggiornamento.
- Se non puoi aggiornare oggi, riduci l’esposizione: togli da internet ciò che non deve essere pubblico (ambienti di test, pannelli, applicazioni interne) e mettilo dietro VPN o accesso limitato. Le regole WAF di Cloudflare aiutano, anche nel piano gratuito, ma sono un tampone e funzionano solo se il server non è raggiungibile direttamente. Il bollettino di PHP indica alcune misure temporanee per i sistemisti, precisando che non rendono l’installazione sicura.[Advisory PHP]
- Verifica che l’aggiornamento sia davvero attivo: riavvia PHP-FPM o il web server, controlla tutte le repliche e aggiorna immagini container, template delle macchine virtuali e pipeline di deploy, altrimenti la versione vulnerabile torna al prossimo rilascio.
- Controlla i segnali di compromissione: file PHP nuovi o modificati, utenti amministratori sconosciuti, processi o connessioni insolite, picchi anomali nei log. Se trovi qualcosa, serve un intervento di incident response, non solo la patch.
- Pianifica l’uscita dalle versioni fuori supporto: PHP 8.1 e precedenti non ricevono più aggiornamenti ufficiali e la 8.2 smette a fine anno. Alla prossima falla critica potresti non avere una patch.
Il vero problema: sapere cosa hai esposto e tenerlo aggiornato
PHP2Shell non è un caso isolato: ogni mese escono vulnerabilità critiche in software usatissimi. Le aziende che se la cavano non sono quelle che corrono quando esce la notizia, ma quelle che sanno già quali sistemi hanno, chi li aggiorna e in quanto tempo.
Servono due cose:
- una visione da fuori: una scansione della superficie d’attacco individua i siti, i server e i servizi raggiungibili da internet, comprese le versioni software vulnerabili. È lo stesso punto di partenza di cui abbiamo parlato per l’attacco agli impianti dei supermercati francesi;
- un processo continuo: il vulnerability e patch management mette in fila le vulnerabilità per gravità e le chiude con tempi definiti, invece di affidarsi alla buona volontà.
Cosa dicono le norme
NIS2: la gestione delle vulnerabilità è un obbligo
Tra le misure di sicurezza richieste dalla direttiva NIS2 c’è la sicurezza nella manutenzione dei sistemi, compresa la gestione delle vulnerabilità.[EUR-Lex] Un aggiornamento critico come questo, applicato e documentato, è esattamente il tipo di evidenza che serve. Se vuoi capire a che punto sei, parti dalla nostra guida al NIS2 gap assessment.
Cyber Resilience Act: se vendi software
Se produci software o dispositivi che includono PHP, sei responsabile anche delle vulnerabilità dei componenti che usi. Dall’11 settembre 2026 le vulnerabilità attivamente sfruttate nei tuoi prodotti vanno segnalate entro 24 ore.[EUR-Lex] Trovi qui il nostro percorso sul Cyber Resilience Act.
Come ti aiutiamo
Se non hai nessuno che segue i tuoi server, possiamo verificare subito versioni ed esposizione, applicare gli aggiornamenti e controllare che non ci siano segni di compromissione. Poi impostiamo la gestione di server e reti e il patch management continuo, così alla prossima falla critica sai già chi interviene e in quanto tempo.
Richiedi la scansione → oppure scopri il vulnerability assessment
Fonti: PHP.net · Advisory PHP · Help Net Security · Tenable · Cybersecurity360 · Direttiva NIS2 · Cyber Resilience Act
Articolo aggiornato al 21 ottobre 2026. La situazione è in evoluzione: verifica sempre le versioni corrette sul sito ufficiale di PHP e nei bollettini della tua distribuzione.
