{"id":37359,"date":"2026-10-22T08:04:05","date_gmt":"2026-10-22T07:04:05","guid":{"rendered":"https:\/\/www.digife.it\/?p=37359"},"modified":"2026-10-22T08:04:05","modified_gmt":"2026-10-22T07:04:05","slug":"php2shell-sanate-due-vulnerabilita-critiche-in-php","status":"publish","type":"post","link":"https:\/\/www.digife.it\/de\/php2shell-sanate-due-vulnerabilita-critiche-in-php\/","title":{"rendered":"PHP2Shell: Zwei kritische Sicherheitsl\u00fccken gef\u00e4hrden Webseiten"},"content":{"rendered":"<p><em>PHP ha rilasciato aggiornamenti di emergenza per due falle di sicurezza che possono consentire attacchi ai server. Coinvolti anche siti WordPress, e-commerce e applicazioni aziendali.<\/em><\/p>\n<p>Das <strong>21 ottobre 2026<\/strong> sono state corrette due vulnerabilit\u00e0 critiche di PHP, il linguaggio utilizzato da numerosi siti web e applicazioni online. Le falle, conosciute come <strong>PHP2Shell<\/strong>, possono consentire a un aggressore di eseguire codice sul server senza possedere credenziali di accesso.<\/p>\n<p>Il problema non riguarda un singolo CMS o un plugin vulnerabile. Le falle si trovano direttamente nel motore di PHP e possono quindi interessare anche siti aggiornati e correttamente configurati. Il team di sicurezza ha pubblicato le correzioni in anticipo rispetto alla data prevista, dopo la diffusione di informazioni tecniche sulle vulnerabilit\u00e0.<\/p>\n<h2>PHP2Shell: cosa sono le due vulnerabilit\u00e0 e perch\u00e9 sono pericolose<\/h2>\n<p>Le vulnerabilit\u00e0, identificate come <strong>CVE-2026-109618 e CVE-2026-109619<\/strong>, hanno entrambe ricevuto un punteggio di gravit\u00e0 pari a <strong>9,2 su 10 nella scala CVSS 4.0<\/strong>, il sistema utilizzato per valutare la criticit\u00e0 delle falle informatiche.<\/p>\n<p>Entrambe riguardano problemi nella gestione della memoria di PHP. In determinate condizioni, un aggressore pu\u00f2 sfruttare questi errori per ottenere l&#8217;esecuzione di codice da remoto, una tecnica conosciuta come <em>Remote Code Execution<\/em> (RCE).<\/p>\n<p>La prima vulnerabilit\u00e0 si manifesta durante la gestione di errori legati all&#8217;esaurimento della memoria. La seconda interessa informazioni interne che possono rimanere accessibili anche dopo la conclusione di una richiesta.<\/p>\n<p>Il risultato potenziale \u00e8 particolarmente serio: un attaccante potrebbe eseguire istruzioni con i privilegi del processo PHP, accedere a informazioni riservate o compromettere il funzionamento del sito.<\/p>\n<p>La gravit\u00e0 \u00e8 stata confermata dal <a href=\"https:\/\/www.php.net\/archive\/2026.php\" target=\"_blank\" rel=\"noopener noreferrer\">team ufficiale di PHP<\/a>, che ha invitato gli amministratori ad applicare immediatamente gli aggiornamenti.<\/p>\n<h2>WordPress, Joomla ed e-commerce: quali siti sono coinvolti?<\/h2>\n<p>La particolarit\u00e0 di PHP2Shell \u00e8 che le vulnerabilit\u00e0 non dipendono necessariamente dal software utilizzato per costruire il sito.<\/p>\n<p><strong>WordPress, Joomla, Drupal, Magento e applicazioni PHP personalizzate<\/strong> possono essere esposti quando utilizzano versioni vulnerabili del linguaggio.<\/p>\n<p>Questo significa che un sito con temi, plugin e CMS aggiornati non \u00e8 automaticamente protetto. Se il server continua a utilizzare una versione di PHP non corretta, il rischio pu\u00f2 rimanere.<\/p>\n<p>Secondo gli avvisi ufficiali, sono potenzialmente coinvolti diversi ambienti di esecuzione, tra cui PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed. Il rischio pi\u00f9 elevato \u00e8 stato individuato nelle configurazioni Apache con mod_php, per le quali \u00e8 stato dimostrato uno sfruttamento prima ancora dell&#8217;esecuzione del codice del sito.<\/p>\n<p>Per le aziende, le conseguenze possono interessare non soltanto la disponibilit\u00e0 delle pagine, ma anche dati dei clienti, sistemi collegati e continuit\u00e0 dei servizi online.<\/p>\n<h2>Quali versioni di PHP sono state aggiornate?<\/h2>\n<p>Le correzioni ufficiali sono disponibili nelle seguenti versioni:<\/p>\n<ul>\n<li><strong>PHP 8.5.12<\/strong><\/li>\n<li><strong>PHP 8.4.27<\/strong><\/li>\n<li><strong>PHP 8.3.36<\/strong><\/li>\n<li><strong>PHP 8.2.35<\/strong><\/li>\n<\/ul>\n<p>Le installazioni precedenti alle versioni corrette del rispettivo ramo devono essere verificate e aggiornate.<\/p>\n<p>Un&#8217;attenzione particolare riguarda PHP 8.1 e le versioni precedenti, che non ricevono pi\u00f9 aggiornamenti ordinari dal progetto PHP. Alcuni fornitori distribuiscono correzioni specifiche per questi ambienti, ma \u00e8 necessario verificarne la disponibilit\u00e0 e pianificare una migrazione verso versioni supportate.<\/p>\n<p>L&#8217;intervento deve riguardare l&#8217;ambiente che esegue il sito: <strong>aggiornare WordPress o i suoi plugin, da solo, non risolve PHP2Shell<\/strong>.<\/p>\n<h2>Sono gi\u00e0 stati registrati attacchi?<\/h2>\n<p>Le prime informazioni sulle vulnerabilit\u00e0 sono circolate pubblicamente il 20 ottobre, anticipando la distribuzione delle patch di sicurezza.<\/p>\n<p>Diverse societ\u00e0 specializzate, tra cui watchTowr, <a href=\"https:\/\/www.cloudflare.com\/it-it\/\" target=\"_blank\" rel=\"noopener noreferrer\">Wolkenflare<\/a> e Patchstack, hanno segnalato tentativi di sfruttamento osservati sulle proprie infrastrutture.<\/p>\n<p>\u00c8 importante distinguere questi tentativi dalle compromissioni riuscite: le segnalazioni pubbliche non permettono, da sole, di quantificare quanti siti siano stati effettivamente violati.<\/p>\n<p>Anche l&#8217;Agenzia per la Cybersicurezza Nazionale, attraverso CSIRT Italia, ha segnalato la criticit\u00e0 delle vulnerabilit\u00e0 e la necessit\u00e0 di intervenire rapidamente.<\/p>\n<p>Le misure temporanee di protezione possono ridurre alcune possibilit\u00e0 di attacco, ma non eliminano completamente il problema. La soluzione indicata dagli sviluppatori rimane l&#8217;<strong>applicazione delle correzioni di sicurezza a PHP<\/strong>.<\/p>\n<h2>Was das f\u00fcr Ihr Unternehmen bedeutet<\/h2>\n<p>La scoperta di PHP2Shell evidenzia quanto la sicurezza di un sito dipenda anche dall&#8217;infrastruttura che lo ospita, non soltanto dagli aggiornamenti visibili nel pannello di amministrazione.<\/p>\n<p>Per ridurre l&#8217;esposizione, le aziende dovrebbero intervenire su tre aspetti:<\/p>\n<ol>\n<li><strong>Verificare la versione di PHP e l&#8217;ambiente di hosting<\/strong>, chiedendo al proprio fornitore se le correzioni sono gi\u00e0 state applicate.<\/li>\n<li><strong>Programmare l&#8217;aggiornamento e verificarne la compatibilit\u00e0<\/strong>, soprattutto in presenza di e-commerce, plugin personalizzati e integrazioni con software gestionali.<\/li>\n<li><strong>Controllare i sistemi dopo l&#8217;intervento<\/strong>, verificando il corretto funzionamento del sito e analizzando eventuali anomalie nei log e nei file.<\/li>\n<\/ol>\n<p>Per un&#8217;azienda, mantenere sicuro il proprio sito significa proteggere dati, operativit\u00e0 e affidabilit\u00e0 dei servizi offerti ai clienti.<\/p>\n<p><strong>DigiFe supporta le imprese nella verifica e nella gestione della sicurezza dei siti web<\/strong>, individuando vulnerabilit\u00e0, configurazioni obsolete e interventi necessari per mantenere l&#8217;infrastruttura aggiornata.<\/p>\n<p>Scopri il servizio di <a href=\"https:\/\/www.digife.it\/de\/it-sicherheit\/\">sicurezza informatica di DigiFe<\/a> per valutare lo stato di protezione del tuo sito aziendale.<\/p>","protected":false},"excerpt":{"rendered":"<p>PHP ha rilasciato aggiornamenti di emergenza per due falle di sicurezza che possono consentire attacchi ai server. Coinvolti anche siti WordPress, e-commerce e applicazioni aziendali. Il 21 ottobre 2026 sono&#8230;<\/p>","protected":false},"author":37,"featured_media":37360,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1],"tags":[],"class_list":["post-37359","post","type-post","status-publish","format-standard","has-post-thumbnail","category-curiosita-web"],"_links":{"self":[{"href":"https:\/\/www.digife.it\/de\/wp-json\/wp\/v2\/posts\/37359","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.digife.it\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.digife.it\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.digife.it\/de\/wp-json\/wp\/v2\/users\/37"}],"replies":[{"embeddable":true,"href":"https:\/\/www.digife.it\/de\/wp-json\/wp\/v2\/comments?post=37359"}],"version-history":[{"count":1,"href":"https:\/\/www.digife.it\/de\/wp-json\/wp\/v2\/posts\/37359\/revisions"}],"predecessor-version":[{"id":37361,"href":"https:\/\/www.digife.it\/de\/wp-json\/wp\/v2\/posts\/37359\/revisions\/37361"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.digife.it\/de\/wp-json\/wp\/v2\/media\/37360"}],"wp:attachment":[{"href":"https:\/\/www.digife.it\/de\/wp-json\/wp\/v2\/media?parent=37359"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.digife.it\/de\/wp-json\/wp\/v2\/categories?post=37359"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.digife.it\/de\/wp-json\/wp\/v2\/tags?post=37359"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}