PHP2Shell, due falle critiche minacciano milioni di siti WordPress: aggiornamento urgente
Se gestisci un sito WordPress, un negozio online o un’applicazione web basata su PHP, c’è un aggiornamento che non dovresti rimandare. Il 21 ottobre 2026 il team di sviluppo di PHP ha distribuito patch straordinarie per due vulnerabilità critiche, CVE-2026-109618 e CVE-2026-109619, entrambe classificate con gravità 9,2 su 10 secondo lo standard CVSS 4.0. Le falle, note collettivamente come PHP2Shell, possono permettere a un aggressore di eseguire codice su un server senza autenticarsi.
La notizia interessa una parte enorme del web: PHP è alla base di WordPress e di molti altri CMS, oltre che di applicazioni personalizzate e pannelli di amministrazione. Non significa che tutti i siti siano già stati compromessi, ma i sistemi esposti che non hanno ancora ricevuto la correzione devono essere considerati a rischio. Il progetto PHP ha dichiarato esplicitamente che non esistono mitigazioni complete alternative all’aggiornamento.
Cosa sono PHP2Shell e le due falle CVE-2026-109618 e CVE-2026-109619
Le vulnerabilità consentono potenzialmente la cosiddetta esecuzione remota di codice, indicata con la sigla RCE. In pratica, un attaccante potrebbe inviare richieste appositamente costruite a un server vulnerabile e ottenere l’esecuzione di istruzioni con i privilegi del processo PHP, senza dover conoscere una password o accedere al pannello di gestione del sito.
Le analisi pubblicate dopo il rilascio delle patch collegano entrambi i problemi alla gestione dello stato della memoria di PHP quando una richiesta termina in modo anomalo. La CVE-2026-109618 riguarda una catena di condizioni che può portare alla corruzione della memoria; la CVE-2026-109619 coinvolge uno stato globale non correttamente ripulito, con possibili conseguenze come accessi a memoria non più valida, divulgazione di informazioni ed esecuzione di codice.
Il rischio non è limitato a una specifica applicazione PHP. Secondo l’avviso ufficiale, sono interessate le installazioni che gestiscono richieste web tramite PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed. Il team considera particolarmente grave lo scenario con mod_php, per il quale è stato dimostrato un attacco attivabile prima ancora dell’esecuzione del codice dell’applicazione.
Quali versioni PHP devi installare subito
Il 21 ottobre sono state pubblicate quattro versioni corrette: PHP 8.5.12, PHP 8.4.27, PHP 8.3.36 e PHP 8.2.35. Se il tuo server utilizza uno di questi rami, devi passare almeno alla relativa versione di sicurezza. Non basta installare una patch di WordPress o aggiornare i plugin: la correzione riguarda l’interprete PHP installato sul server.
Le versioni più vecchie e non supportate, come PHP 7 e i primi rami di PHP 8, non ricevono una nuova release ufficiale per questa emergenza. Per chi le utilizza, la strada consigliata è migrare a una versione mantenuta, dopo aver verificato la compatibilità delle applicazioni. PHP 8.2, inoltre, raggiungerà la fine del supporto il 31 dicembre 2026, quindi conviene pianificare anche un passaggio successivo.
Se il sito si trova su un hosting gestito, il provider potrebbe installare l’aggiornamento per te. Tuttavia, non devi presumerlo: verifica la versione effettiva del runtime PHP associato al tuo dominio, non soltanto quella mostrata nel pannello di controllo generale.
WordPress è coinvolto: cosa controllare nel tuo sito
WordPress utilizza PHP per eseguire gran parte delle operazioni lato server. Per questo, un sito WordPress può essere esposto anche quando il CMS, il tema e i plugin risultano aggiornati. La vulnerabilità non nasce necessariamente da un’estensione difettosa: interessa il linguaggio e il modo in cui alcune richieste vengono elaborate.
Per un primo controllo entra nella bacheca WordPress e apri Strumenti → Salute del sito → Informazioni → Server. Qui puoi trovare la versione PHP attualmente utilizzata dal sito. Se compare una release precedente a quella corretta per il tuo ramo, contatta il provider oppure verifica nel pannello di hosting la disponibilità dell’aggiornamento.
Se amministri direttamente un server Linux, controlla la versione effettivamente in uso dai servizi web e PHP-FPM: il comando php -v mostra la versione del PHP da riga di comando, ma non garantisce che coincida con quella utilizzata dal sito. Dopo l’aggiornamento, verifica anche i servizi attivi, riavvia quelli necessari e prova le funzionalità principali del sito, comprese autenticazione, moduli, carrello ed eventuali integrazioni.
Prima di un cambiamento di versione importante è prudente creare un backup completo e predisporre un ambiente di test. Questo non deve però diventare un motivo per rimandare indefinitamente una patch critica: se non puoi aggiornare subito, valuta con il provider misure temporanee di isolamento del servizio.
Leggi anche:
Cloudflare ha osservato tentativi di attacco prima dell’uscita delle patch
La gestione dell’emergenza è stata accelerata da una diffusione anticipata di informazioni sulle vulnerabilità. I dettagli erano inizialmente sottoposti a un processo di divulgazione coordinata, ma una fuga di notizie ha spinto il progetto PHP ad annunciare il rilascio straordinario già il 20 ottobre.
La società di ricerca watchTowr ha confermato di aver verificato almeno una delle falle in laboratorio, evitando inizialmente di diffondere i dettagli tecnici per non favorire gli attaccanti. Nel frattempo, il direttore tecnico di Cloudflare, Dane Knecht, ha segnalato che l’azienda stava già osservando tentativi iniziali di sfruttamento e aveva distribuito regole di protezione temporanee.
Le protezioni dei firewall applicativi possono ridurre alcuni attacchi conosciuti, ma non sostituiscono le patch PHP. Un filtro di rete può infatti non riconoscere ogni possibile variante di un exploit, mentre l’aggiornamento interviene sul difetto che lo rende possibile.
Le autorità europee consigliano di isolare i sistemi non aggiornabili
Anche CERT-EU, il servizio europeo di risposta agli incidenti informatici, ha pubblicato un avviso sulla gravità delle vulnerabilità. L’organismo raccomanda di identificare rapidamente tutte le installazioni PHP esposte a Internet e applicare gli aggiornamenti appena disponibili.
Se un sistema non può essere corretto nell’immediato, CERT-EU invita a considerare l’isolamento delle applicazioni raggiungibili pubblicamente finché non sarà possibile installare una versione sicura. Si tratta di una misura potenzialmente onerosa, soprattutto per negozi e servizi online, ma il rischio va valutato rispetto alle conseguenze di una compromissione.
La necessità di inventariare le installazioni riguarda anche ambienti meno visibili: server secondari, sottodomini dimenticati, pannelli interni esposti per errore, ambienti di prova e dispositivi che includono PHP senza evidenziarlo chiaramente.
Cosa può succedere se un server PHP viene compromesso
Un attacco RCE riuscito può permettere di eseguire istruzioni con i privilegi del processo che gestisce le richieste web. Le conseguenze dipendono dalla configurazione del server e dalle autorizzazioni disponibili, ma possono comprendere modifiche ai file del sito, furto di dati accessibili al processo, installazione di codice malevolo e utilizzo del server per ulteriori attacchi.
Questo non equivale automaticamente a ottenere il controllo completo della macchina. La possibilità di aumentare i privilegi dipende da altri fattori, tra cui la separazione dei servizi, i permessi sui file e la presenza di ulteriori vulnerabilità. È comunque un livello di accesso potenzialmente molto grave per un sito che gestisce account, ordini o informazioni personali.
Se sospetti una compromissione, non limitarti a installare l’aggiornamento. Conserva i log disponibili, controlla modifiche inattese ai file e agli account amministrativi, verifica eventuali connessioni sospette e valuta un’analisi tecnica prima di ripristinare il normale servizio.
Come proteggere il tuo sito adesso
La priorità è verificare quale versione di PHP gestisce realmente le richieste del sito e aggiornare a 8.5.12, 8.4.27, 8.3.36 oppure 8.2.35, a seconda del ramo installato. Se il provider utilizza pacchetti con patch retroportate, chiedi conferma esplicita che entrambe le CVE siano state corrette.
Controlla poi che l’aggiornamento sia attivo su tutti i server, inclusi quelli dietro un bilanciatore di carico, e non soltanto su un singolo nodo. Verifica il funzionamento dell’applicazione, esamina i log per attività insolite e mantieni aggiornati anche CMS, temi e plugin: sono misure complementari, non alternative.
La vicenda PHP2Shell ricorda quanto sia importante la sicurezza dell’infrastruttura sottostante. Un sito apparentemente aggiornato può restare vulnerabile se il software che lo esegue non riceve le correzioni necessarie. In questo caso, l’indicazione ufficiale è inequivocabile: l’aggiornamento di PHP va effettuato il prima possibile.
Ti potrebbe interessare:
Segui guruhitech su:
- Google News: bit.ly/gurugooglenews
- Telegram: t.me/guruhitech
- Facebook: facebook.com/guruhitechfb
- Instagram: instagram.com/guruhitech_official/
- X (Twitter): x.com/guruhitech1
- Bluesky: bsky.app/profile/guruhitech.bsky.social
- Rumble: rumble.com/user/guruhitech
- VKontakte: vk.com/guruhitech
- MeWe: mewe.com/i/guruhitech
- Skype: live:.cid.d4cf3836b772da8a
- WhatsApp: bit.ly/whatsappguruhitech
Esprimi il tuo parere!
Che ne pensi di questa notizia? Lascia un commento nell’apposita sezione che trovi più in basso e se ti va, iscriviti alla newsletter.
Per qualsiasi domanda, informazione o assistenza nel mondo della tecnologia, puoi inviare una email all’indirizzo [email protected].
Scopri di più da GuruHiTech
Abbonati per ricevere gli ultimi articoli inviati alla tua e-mail.