PHP ha rilasciato aggiornamenti di emergenza per due falle di sicurezza che possono consentire attacchi ai server. Coinvolti anche siti WordPress, e-commerce e applicazioni aziendali.
The 21 ottobre 2026 sono state corrette due vulnerabilità critiche di PHP, il linguaggio utilizzato da numerosi siti web e applicazioni online. Le falle, conosciute come PHP2Shell, possono consentire a un aggressore di eseguire codice sul server senza possedere credenziali di accesso.
Il problema non riguarda un singolo CMS o un plugin vulnerabile. Le falle si trovano direttamente nel motore di PHP e possono quindi interessare anche siti aggiornati e correttamente configurati. Il team di sicurezza ha pubblicato le correzioni in anticipo rispetto alla data prevista, dopo la diffusione di informazioni tecniche sulle vulnerabilità.
PHP2Shell: cosa sono le due vulnerabilità e perché sono pericolose
Le vulnerabilità, identificate come CVE-2026-109618 e CVE-2026-109619, hanno entrambe ricevuto un punteggio di gravità pari a 9,2 su 10 nella scala CVSS 4.0, il sistema utilizzato per valutare la criticità delle falle informatiche.
Entrambe riguardano problemi nella gestione della memoria di PHP. In determinate condizioni, un aggressore può sfruttare questi errori per ottenere l’esecuzione di codice da remoto, una tecnica conosciuta come Remote Code Execution (RCE).
La prima vulnerabilità si manifesta durante la gestione di errori legati all’esaurimento della memoria. La seconda interessa informazioni interne che possono rimanere accessibili anche dopo la conclusione di una richiesta.
Il risultato potenziale è particolarmente serio: un attaccante potrebbe eseguire istruzioni con i privilegi del processo PHP, accedere a informazioni riservate o compromettere il funzionamento del sito.
La gravità è stata confermata dal team ufficiale di PHP, che ha invitato gli amministratori ad applicare immediatamente gli aggiornamenti.
WordPress, Joomla ed e-commerce: quali siti sono coinvolti?
La particolarità di PHP2Shell è che le vulnerabilità non dipendono necessariamente dal software utilizzato per costruire il sito.
WordPress, Joomla, Drupal, Magento e applicazioni PHP personalizzate possono essere esposti quando utilizzano versioni vulnerabili del linguaggio.
Questo significa che un sito con temi, plugin e CMS aggiornati non è automaticamente protetto. Se il server continua a utilizzare una versione di PHP non corretta, il rischio può rimanere.
Secondo gli avvisi ufficiali, sono potenzialmente coinvolti diversi ambienti di esecuzione, tra cui PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed. Il rischio più elevato è stato individuato nelle configurazioni Apache con mod_php, per le quali è stato dimostrato uno sfruttamento prima ancora dell’esecuzione del codice del sito.
Per le aziende, le conseguenze possono interessare non soltanto la disponibilità delle pagine, ma anche dati dei clienti, sistemi collegati e continuità dei servizi online.
Quali versioni di PHP sono state aggiornate?
Le correzioni ufficiali sono disponibili nelle seguenti versioni:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Le installazioni precedenti alle versioni corrette del rispettivo ramo devono essere verificate e aggiornate.
Un’attenzione particolare riguarda PHP 8.1 e le versioni precedenti, che non ricevono più aggiornamenti ordinari dal progetto PHP. Alcuni fornitori distribuiscono correzioni specifiche per questi ambienti, ma è necessario verificarne la disponibilità e pianificare una migrazione verso versioni supportate.
L’intervento deve riguardare l’ambiente che esegue il sito: aggiornare WordPress o i suoi plugin, da solo, non risolve PHP2Shell.
Sono già stati registrati attacchi?
Le prime informazioni sulle vulnerabilità sono circolate pubblicamente il 20 ottobre, anticipando la distribuzione delle patch di sicurezza.
Diverse società specializzate, tra cui watchTowr, Cloudflare e Patchstack, hanno segnalato tentativi di sfruttamento osservati sulle proprie infrastrutture.
È importante distinguere questi tentativi dalle compromissioni riuscite: le segnalazioni pubbliche non permettono, da sole, di quantificare quanti siti siano stati effettivamente violati.
Anche l’Agenzia per la Cybersicurezza Nazionale, attraverso CSIRT Italia, ha segnalato la criticità delle vulnerabilità e la necessità di intervenire rapidamente.
Le misure temporanee di protezione possono ridurre alcune possibilità di attacco, ma non eliminano completamente il problema. La soluzione indicata dagli sviluppatori rimane l’applicazione delle correzioni di sicurezza a PHP.
What this means for your business
La scoperta di PHP2Shell evidenzia quanto la sicurezza di un sito dipenda anche dall’infrastruttura che lo ospita, non soltanto dagli aggiornamenti visibili nel pannello di amministrazione.
Per ridurre l’esposizione, le aziende dovrebbero intervenire su tre aspetti:
- Verificare la versione di PHP e l’ambiente di hosting, chiedendo al proprio fornitore se le correzioni sono già state applicate.
- Programmare l’aggiornamento e verificarne la compatibilità, soprattutto in presenza di e-commerce, plugin personalizzati e integrazioni con software gestionali.
- Controllare i sistemi dopo l’intervento, verificando il corretto funzionamento del sito e analizzando eventuali anomalie nei log e nei file.
Per un’azienda, mantenere sicuro il proprio sito significa proteggere dati, operatività e affidabilità dei servizi offerti ai clienti.
DigiFe supporta le imprese nella verifica e nella gestione della sicurezza dei siti web, individuando vulnerabilità, configurazioni obsolete e interventi necessari per mantenere l’infrastruttura aggiornata.
Scopri il servizio di sicurezza informatica di DigiFe per valutare lo stato di protezione del tuo sito aziendale.
