PHP2Shell: la vulnerabilità PHP che minaccia siti e server in tutto il mondo

Il 21 ottobre 2026 sono state rese pubbliche due falle gravissime in PHP, il linguaggio su cui gira una parte enorme del web. Si chiamano CVE-2026-109618 e CVE-2026-109619, hanno un punteggio di 9,2 su 10 e nel settore vengono già indicate con il nome PHP2Shell. Permettono a un malintenzionato di far eseguire comandi al server senza conoscere alcuna password. Riguarda chiunque gestisca un sito o un'applicazione PHP, WordPress compreso.

Il fatto che preoccupa di più è il calendario: i primi tentativi di sfruttamento sono comparsi prima che le correzioni fossero pronte. Il CTO di Cloudflare, Dane Knecht, ha segnalato attacchi già in corso circa sei ore prima del rilascio degli aggiornamenti.

Come funziona, in breve

Il problema nasce quando una richiesta web viene interrotta, per esempio perché il server finisce la memoria. In quel momento PHP lascia dati non validi in un'area di memoria e li riutilizza più tardi, ed è lì che un attaccante riesce a inserire il proprio codice. Una delle catene di attacco osservate passa dalla direttiva session.upload_progress, che è attiva di default.

La configurazione più esposta è mod_php di Apache. Il progetto PHP segnala che una richiesta non autenticata può far scattare la falla prima ancora che parta l'applicazione. Vuol dire che non servono credenziali, e che i plugin di sicurezza di WordPress non fermano l'attacco. Restano a rischio anche le installazioni con PHP-FPM, php-cgi, FrankenPHP e LiteSpeed.

Quali versioni sono a rischio

Per i rami 8.1 e precedenti alcune distribuzioni Linux e alcuni fornitori con supporto LTS preparano correzioni per conto proprio. Se la versione non è più supportata, la strada più sicura resta passare a un ramo attivo. Se non è possibile, chiedi al fornitore se esiste una correzione retroportata.

Attenzione anche al numero di versione: alcune distribuzioni lasciano invariato il numero anche dopo la correzione. Oltre a php -v, conviene quindi controllare il changelog del pacchetto.

Cosa fare subito

1. Verifica la versione di PHP del tuo server. Se hai un hosting condiviso, chiedi al provider se l'aggiornamento è già stato fatto.
2. Aggiorna PHP al ramo corretto, partendo dai siti esposti su internet. Su molti hosting lo fa il provider, ma va verificato.
3. Riavvia PHP-FPM o il web server e ricontrolla la versione.
4. Guarda i log. Cerca processi del web server che lanciano shell, curl, wget o strumenti simili, oppure file e account che non riconosci. Per il periodo a rischio, c'è chi consiglia di partire dai log del 20 ottobre 2026.
5. Se l'aggiornamento non può essere fatto subito, isola le applicazioni esposte su internet, seguendo le indicazioni provvisorie pubblicate dal progetto PHP.
6. Controlla i prodotti di terze parti. Appliance, container e software che includono una copia di PHP vanno aggiornati a parte.

Cosa non sappiamo ancora

Su alcuni punti le notizie non coincidono. Il Canadian Centre for Cyber Security, nel suo avviso, non aveva ancora rilevato sfruttamento attivo su larga scala, pur avvertendo che la situazione può cambiare in fretta. Cloudflare parla invece di tentativi già in corso. Non è chiaro quante organizzazioni siano state compromesse. Circolano anche voci su versioni più vecchie, fino alla 5.4, ma non hanno conferme ufficiali.

Per questo non conviene aspettare certezze: se gestisci un sito PHP, aggiorna adesso e controlla i log.

Perché riguarda anche le piccole attività

Molti siti di negozi, studi professionali e artigiani girano su WordPress o su gestionali PHP ospitati su hosting condiviso. Spesso chi li gestisce non sa nemmeno quale versione di PHP sia attiva. Una telefonata al provider basta a capire se si è esposti. Un aggiornamento fatto in tempo evita il rischio peggiore: dati dei clienti sottratti o pagine modificate senza che nessuno se ne accorga.

Se vuoi un controllo del tuo sito o un'indicazione su cosa aggiornare, scrivici.