Allarme NSA: due falle gravissime in PHP minacciano milioni di siti WordPress

Due vulnerabilità critiche scoperte nel cuore di PHP hanno fatto scattare un’allerta internazionale per la sicurezza dei siti web. La National Security Agency (NSA) statunitense ha chiesto ad aziende e amministratori di aggiornare immediatamente i server, avvertendo che le falle, soprannominate PHP2Shell, potrebbero consentire a un aggressore di prendere il controllo di un sistema esposto senza conoscere password e senza autenticarsi. L’allarme riguarda anche le infrastrutture su cui funzionano siti realizzati con WordPress, Drupal e Joomla.

Le vulnerabilità sono identificate come CVE-2026-109618 e CVE-2026-109619. Il progetto PHP ha pubblicato le correzioni il 21 ottobre 2026, mentre NSA, CISA, FBI e autorità europee hanno invitato le organizzazioni a intervenire con urgenza. Non significa che ogni sito basato su PHP sia già stato violato: il pericolo riguarda le installazioni vulnerabili e la possibilità che i difetti vengano sfruttati.

Che cosa sono le vulnerabilità PHP2Shell

PHP è un linguaggio di programmazione eseguito sul server e utilizzato per generare pagine dinamiche, gestire moduli, autenticazioni e numerose funzioni delle applicazioni web. Le due falle interessano il motore PHP stesso, non un particolare plugin o tema: aggiornare soltanto WordPress o le sue estensioni, quindi, non basta se il server continua a utilizzare una versione di PHP vulnerabile.

La prima falla, CVE-2026-109618, è legata alla gestione della memoria in condizioni di esaurimento delle risorse: durante la pulizia dei dati di una richiesta, il programma può trattare memoria non inizializzata come se fosse valida. La seconda, CVE-2026-109619, riguarda uno stato interno che può rimanere disponibile dopo che la memoria associata è stata liberata. In determinate condizioni, entrambi i problemi possono consentire l’esecuzione remota di codice.

I due difetti hanno una valutazione di gravità 9,2 su 10 secondo CVSS 4.0. Il rischio più elevato è stato individuato nelle configurazioni che utilizzano Apache con mod_php, ma le autorità segnalano che anche PHP-FPM, PHP-CGI, FrankenPHP e LiteSpeed possono essere interessati.

Quali versioni di PHP devono essere aggiornate subito

Gli aggiornamenti di sicurezza rilasciati il 21 ottobre correggono entrambe le vulnerabilità. Le versioni da installare sono PHP 8.5.12, PHP 8.4.27, PHP 8.3.36 e PHP 8.2.35, oppure release successive che contengano le medesime correzioni.

Le versioni precedenti all’interno di questi rami sono vulnerabili. Anche le installazioni basate su PHP 8.1 e versioni più vecchie richiedono attenzione particolare perché non ricevono più il normale supporto del progetto PHP. Alcuni fornitori Linux o di supporto a lungo termine possono distribuire correzioni retroportate: in quel caso è necessario verificare gli avvisi del proprio fornitore, senza basarsi soltanto sul numero della versione visualizzato.

Leggi anche:

• L’intelligenza artificiale può pianificare attacchi a reti elettriche e acquedotti: lo studio shock

WordPress, Joomla e Drupal sono in pericolo?

Sì, i siti che utilizzano una versione vulnerabile di PHP possono essere esposti, indipendentemente dal CMS installato. WordPress, Joomla e Drupal sono esempi di applicazioni che si appoggiano a PHP per elaborare richieste web. Il difetto è nel runtime, quindi può essere raggiungibile anche quando il CMS e tutti i plugin risultano aggiornati.

Questo non significa che tutti i siti WordPress siano automaticamente compromessi: la configurazione del server e la presenza delle patch sono determinanti. Un servizio di hosting gestito potrebbe aver già applicato gli aggiornamenti. Chi gestisce un server VPS, dedicato o un ambiente personalizzato deve invece verificare direttamente quali pacchetti PHP sono installati e quali processi li stanno eseguendo.

Come verificare e proteggere subito il tuo sito

Il primo controllo consiste nell’identificare la versione di PHP realmente utilizzata dal sito. In WordPress puoi consultare Strumenti → Salute del sito → Informazioni → Server; su hosting con pannello di gestione, verifica anche la versione assegnata al dominio. Se gestisci un VPS, controlla i pacchetti PHP installati e le configurazioni del web server, perché la versione della riga di comando può differire da quella usata per servire le pagine.

Prima dell’aggiornamento esegui un backup completo di file e database e verifica la compatibilità di temi, plugin e applicazioni. Installa poi la release corretta tramite il gestore pacchetti del sistema o il pannello del provider, seguendo le indicazioni del fornitore. Riavvia o ricarica i servizi PHP e web necessari affinché i processi attivi utilizzino il codice aggiornato, quindi controlla che il sito funzioni correttamente.

Se il server è esposto su Internet e non può essere aggiornato subito, le autorità consigliano di isolarlo temporaneamente o portarlo offline fino alla mitigazione. Un firewall applicativo può ridurre alcuni tentativi di attacco, ma non sostituisce la patch. È inoltre opportuno controllare i log e cercare comportamenti anomali, come processi PHP che avviano shell o scaricano file.

Le falle sono già sfruttate dagli hacker?

Nell’avviso pubblicato il 21 ottobre, la CISA dichiarava di non aver ancora osservato sfruttamenti attivi delle due vulnerabilità al momento della comunicazione. Questo dato non deve essere interpretato come una garanzia che gli attacchi non possano verificarsi: sono stati diffusi dettagli tecnici e dimostrazioni di fattibilità, aumentando il rischio di tentativi contro sistemi non aggiornati.

La NSA ha avvertito che gli aggressori potrebbero trasformare rapidamente queste falle in strumenti d’attacco. Anche l’agenzia europea ENISA e il FBI hanno pubblicato raccomandazioni per la messa in sicurezza. Per gli amministratori di siti web la priorità resta la stessa: identificare ogni installazione di PHP esposta, verificare le patch e aggiornare senza ritardi.

Fonte

Ti potrebbe interessare:

• Il Giappone arruola hacker etici e intelligenza artificiale: attaccheranno i sistemi per proteggerli

Segui guruhitech su:

• Google News: bit.ly/gurugooglenews
• Telegram: t.me/guruhitech
• Facebook: facebook.com/guruhitechfb
• Instagram: instagram.com/guruhitech_official/
• X (Twitter): x.com/guruhitech1
• Bluesky: bsky.app/profile/guruhitech.bsky.social
• Rumble: rumble.com/user/guruhitech
• VKontakte: vk.com/guruhitech
• MeWe: mewe.com/i/guruhitech
• Skype: live:.cid.d4cf3836b772da8a
• WhatsApp: bit.ly/whatsappguruhitech

Esprimi il tuo parere!

Che ne pensi di questa notizia? Lascia un commento nell’apposita sezione che trovi più in basso e se ti va, iscriviti alla newsletter.

Per qualsiasi domanda, informazione o assistenza nel mondo della tecnologia, puoi inviare una email all’indirizzo [email protected].