Due falle critiche in PHP permettono l'esecuzione di codice da remoto senza autenticazione sui server web. Ecco le versioni a rischio e i passaggi per applicare gli aggiornamenti di emergenza.
Una grave falla di sicurezza minaccia i server web aziendali: la vulnerabilita php php2shell richiede un aggiornamento di emergenza. Il 20 ottobre 2026 sono state scoperte due falle critiche nel motore PHP che permettono l'esecuzione di codice da remoto senza autenticazione. Il problema riguarda potenzialmente tutte le versioni da PHP 5.4 in poi e richiede l'installazione immediata delle patch ufficiali previste per il 21 ottobre 2026 alle ore 16:00 italiane.
Dettagli tecnici: CVE-2026-109618, CVE-2026-109619 e PHP2Shell
La campagna e il potenziale codice di sfruttamento sono stati identificati dai ricercatori di sicurezza con il nome "PHP2Shell" o "php2shell". Il team ufficiale di PHP ha assegnato alle vulnerabilità i codici identificativi CVE-2026-109618 e CVE-2026-109619, con un punteggio di gravità pari a 9.2 su 10 (scala CVSS v4.0).
Il difetto risiede nel nucleo stesso dell'interprete PHP. Questo significa che chi sfrutta la falla scavalca le difese del singolo sito web, acquisendo il controllo diretto del server. Un attacco riuscito permette di accedere ai database e sottrarre dati personali dei clienti, un evento che fa scattare l'obbligo di notifica all'Autorità Garante per la protezione dei dati entro 72 ore, come previsto dalla normativa GDPR.
Quali versioni e applicazioni sono a rischio
Secondo le analisi di Sansec e watchTowr, il problema si estende a tutte le versioni a partire da PHP 5.4. Le applicazioni a rischio includono siti web, portali e-commerce e gestionali interni basati su piattaforme come WordPress, WooCommerce, Magento, PrestaShop, Drupal e Joomla, oltre a pannelli di amministrazione server come cPanel o Plesk.
Il team di PHP rilascerà correzioni ufficiali solo per i rami attualmente supportati: 8.2, 8.3, 8.4 e 8.5. I rami giunti a fine ciclo di vita, come PHP 8.1, 8.0, 7.x e 5.x, non riceveranno alcun aggiornamento ufficiale dal progetto PHP. Si stima che oltre 884.000 server esposti su Internet eseguano ancora queste versioni obsolete.
Cosa fare: aggiornamento e misure temporanee
Non esiste una modifica al codice dei siti capace di bloccare la minaccia: l'intervento deve avvenire a livello di infrastruttura server. Gli analisti prevedono tentativi di attacco massivo pochi minuti dopo la pubblicazione delle correzioni.
- Installare l'aggiornamento definitivo: applicare le versioni corrette di PHP (8.2.35, 8.3.36, 8.4.27, 8.5.12) non appena disponibili a partire dalle 16:00 italiane del 21 ottobre 2026. Dare priorità ai sistemi direttamente esposti alla rete pubblica.
- Contattare il fornitore di hosting: per i servizi gestiti, richiedere subito conferma scritta sui tempi di applicazione delle patch o sull'uso di pacchetti retroportati forniti dal sistema operativo.
- Isolare i sistemi: se l'aggiornamento non è immediato, il CERT-EU raccomanda di isolare temporaneamente le applicazioni esposte dalle reti pubbliche, oppure di proteggerle dietro un firewall per applicazioni web o un'autenticazione VPN.
- Monitorare i processi: impostare allarmi sul server se processi come
"php-fpm","php-cgi","httpd"o"apache2"tentano di avviare strumenti di scaricamento dati o shell di comando (come evidenziato da Huntress). - Gestire i server obsoleti: per le macchine con PHP 8.1 o inferiore, verificare se il fornitore del sistema operativo Linux (come Debian, Red Hat o Ubuntu) fornisce pacchetti corretti indipendenti, altrimenti pianificare il passaggio forzato a un ramo supportato.
Verificare immediatamente nei propri inventari di sistema quali versioni di PHP sono attualmente in funzione sui server e sulle macchine virtuali aziendali esposte su Internet.
Fonti
- PHP2Shell, due falle critiche minacciano PHP sui server Web: cosa fare
- PHP2Shell: Two Unpatched Critical PHP RCE Flaws (CVSS 9.2) Trigger Emergency Security Alert
- PHP2Shell: Mass Exploitation Looms for Leaked Critical PHP Flaws
- PHP, il linguaggio che fa funzionare gran parte del web, ha due falle critiche. Oggi l’aggiornamento salvifico
- sansec.io
- europa.eu
- huntress.com
