Il 21 ottobre il progetto PHP ha annunciato due falle critiche: permettono a un visitatore anonimo di far eseguire codice a un server. Sono note come PHP2Shell. Riguardano il PHP, il linguaggio su cui girano WordPress e moltissimi altri siti, non un programma in particolare.
Se hai un sito aziendale, la prima domanda è: su quale versione di PHP gira? In questo articolo trovi i fatti verificati sulle fonti ufficiali e, alla fine, sei cose da fare subito.
In sintesi
- Due falle di PHP consentono l’esecuzione di codice da remoto, senza autenticazione. Gravità: 9,2 su 10. I codici CVE sono i numeri pubblici che identificano ogni vulnerabilità: CVE-2026-109618 e CVE-2026-109619.
- Le correzioni sono uscite il 21 ottobre nelle versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35.
- Il 26 ottobre CISA le ha inserite nel catalogo delle vulnerabilità sfruttate (KEV).
- Non è un problema di WordPress: WordPress.org ha precisato che non serve un aggiornamento di WordPress, serve PHP aggiornato.
- Il progetto PHP non aggiorna più la versione 8.1 e quelle precedenti. La 8.2 smette il 31 dicembre 2026.
- Secondo l’ACN, riportata da AGI il 25 ottobre, in Italia su 741.523 servizi PHP rilevati 285.149 usavano versioni potenzialmente vulnerabili.
Cosa sono le falle chiamate PHP2Shell?
Sono due difetti nel modo in cui PHP gestisce la memoria durante una richiesta web. Se vengono sfruttati, un visitatore anonimo può far eseguire comandi al server su cui gira il sito. In informatica una «shell» è l’accesso ai comandi del server.
Secondo l’avviso del progetto PHP, il primo difetto nasce quando PHP finisce la memoria. La pulizia di fine richiesta può trattare come validi dati rimasti a metà. Nel secondo, dati di una richiesta restano in uso dopo che la memoria è stata liberata, e una richiesta successiva li usa.
Non descriviamo come sfruttarle. Ti basta sapere tre cose. Non serve una password. La gravità è 9,2 su 10 secondo gli avvisi su GitHub. E il 26 ottobre CISA, l’agenzia americana per la sicurezza informatica, le ha incluse nel catalogo delle vulnerabilità sfruttate. Significa che ha evidenza di attacchi reali.
Il mio sito è esposto?
Sì, se il sito gira su PHP e la versione non è tra quelle corrette. L’avviso riguarda ogni server che esegue PHP per un sito web, qualunque sia la configurazione (cita PHP-FPM, mod_php, php-cgi, FrankenPHP e LiteSpeed). Non devi sapere quale usi: conta la versione di PHP. Il rischio è più alto quando PHP gira come modulo di Apache (mod_php), dove un’unica richiesta anonima può far partire l’attacco prima che giri il codice del sito.
Con WordPress il rischio è lo stesso di ogni sito PHP. Il post di WordPress.org dice che le falle non sono specifiche di WordPress: riguardano qualsiasi server che ospita un’applicazione PHP. Non è richiesto né previsto un aggiornamento di WordPress. Lo stesso vale per Drupal, Joomla o un sito scritto su misura: conta la versione di PHP del server.
Come scopro la versione di PHP del mio sito?
In WordPress: Strumenti → Salute del sito → Info → Server. Molti hosting la mostrano anche nel pannello di controllo. Se non la trovi, chiedila al tecnico o al fornitore che gestisce il sito.
Poi confrontala con questa tabella. Le correzioni esistono solo per i rami ancora aggiornati dal progetto PHP.
| Versione | Aggiornamenti di sicurezza dal progetto PHP | Versione con la correzione |
|---|---|---|
| 8.5 | Sì | 8.5.12 o successive |
| 8.4 | Sì, fino al 31 dicembre 2028 | 8.4.27 o successive |
| 8.3 | Sì, fino al 31 dicembre 2027 | 8.3.36 o successive |
| 8.2 | Sì, ma solo fino al 31 dicembre 2026 | 8.2.35 o successive |
| 8.1 | No, terminati il 31 dicembre 2025 | Nessuna versione ufficiale |
| 8.0 | No, terminati il 26 novembre 2023 | Nessuna versione ufficiale |
| 7.4 e precedenti | No: la 7.4 è terminata il 28 novembre 2022, le precedenti prima | Nessuna versione ufficiale |
Fonte: php.net, pagine «Supported Versions» ed «End of life», e avvisi di sicurezza del 21 ottobre 2026. Per la versione 8.5 non riportiamo la data di fine supporto perché non l’abbiamo verificata.
Attenzione al numero: un fornitore di hosting può aver applicato la correzione a una versione vecchia senza cambiarne il numero. L’avviso di PHP indica che alcune distribuzioni e fornitori di supporto esteso forniscono correzioni proprie per versioni vecchie, e invita a rivolgersi al fornitore. Per questo la domanda giusta all’hosting non è solo «che versione ho?», ma «avete corretto le falle CVE-2026-109618 e CVE-2026-109619?».
Cosa devo fare se il mio sito è su un PHP vecchio?
Passare a una versione ancora supportata, dopo aver controllato che il sito la regga. Per l’8.1, l’8.0 e la 7.4 non esiste una versione corretta. Il progetto PHP ha pubblicato solo correzioni minime come codice sorgente, pensate per chi compila PHP da sé. Per un sito aziendale la strada è l’aggiornamento di versione.
Il consiglio è nostro: orientati sulla 8.3 o sulla 8.4, che hanno il supporto di sicurezza più lungo tra quelle in tabella (fino a fine 2027 e fine 2028). La 8.2 riceve la correzione, ma smette di essere aggiornata a fine anno e dovresti cambiare di nuovo.
Passare a un PHP più recente può far smettere di funzionare plugin o temi molto vecchi. Per questo si prova prima su una copia del sito, non su quello online.
WordPress.org avvisa chi gestisce il server da sé: con una versione precedente alla 8.2, conviene valutare di mettere il server fuori linea mentre prepara l’aggiornamento. Se il sito è gestito da un hosting o da un’agenzia, la decisione spetta a loro: chiedi cosa hanno fatto.
Le misure provvisorie bastano?
No. L’avviso di PHP elenca alcune impostazioni che riducono l’esposizione a percorsi di attacco specifici, e precisa che non rendono sicura l’installazione. Solo l’aggiornamento è una soluzione completa.
L’avviso non cita i filtri sul traffico, i cosiddetti WAF. WordPress.org nota che il tuo hosting può aver attivato regole di questo tipo e che va comunque controllato se ci sono aggiornamenti. Per noi sono un livello in più, non un sostituto della correzione.
Quanti servizi PHP italiani usano versioni vulnerabili?
Al 25 ottobre, 285.149 su 741.523. L’ACN, citata dall’agenzia AGI il 25 ottobre, ha rilevato in Italia 741.523 servizi PHP. Di questi 285.149 usavano versioni potenzialmente vulnerabili. Sono versioni non aggiornate, non siti violati. Il dato è del 25 ottobre e può essere cambiato.
Per le versioni fuori supporto l’unica correzione certa è passare a un ramo supportato. Alcuni fornitori applicano correzioni proprie senza cambiare il numero di versione: per questo va chiesto per iscritto.
Test di autovalutazione
Il tuo sito è in regola con la sicurezza e il GDPR?
Un sito che raccoglie dati dei clienti ha obblighi precisi, tra cui misure di sicurezza adeguate. Il test GDPR del sito ti dice in tre minuti quali verifiche fare per prime.
Cosa conviene fare già oggi
- Trova la versione di PHP del tuo sito: Strumenti → Salute del sito → Info → Server, oppure il pannello dell’hosting.
- Scrivi all’hosting o all’agenzia che gestisce il sito. Chiedi la versione e se sono state applicate le correzioni per CVE-2026-109618 e CVE-2026-109619, e quando.
- Se sei su 8.1 o precedente, pianifica il passaggio a una versione supportata, meglio la 8.3 o la 8.4. Fallo prima su una copia del sito.
- Fai un backup recente e tienilo fuori dal sito, prima di cambiare versione.
- Controlla se c’è qualcosa di strano: utenti amministratori che non conosci, file nuovi nelle cartelle del sito, reindirizzamenti verso altri siti. Un controllo pulito non è una garanzia, ma è un primo segnale.
- Aggiorna anche WordPress, se non l’hai fatto: la 7.1.4 del 28 ottobre è una release di sicurezza separata, con diverse correzioni.
Come ti aiuta Aeon Lab con i siti web
Come MSP e MSSP di Roma ci occupiamo di versione di PHP, aggiornamenti e backup dei siti web. Con il servizio di siti web e l’assistenza IT facciamo queste verifiche:
- Versione di PHP e correzioni applicate dal tuo hosting.
- Piano di passaggio a una versione supportata, con prova su una copia del sito.
- Aggiornamento di WordPress, plugin e temi.
- Backup e prove di ripristino, con il servizio di backup e disaster recovery.
- Controllo del sito per accorgersi di modifiche anomale.
Presa in carico entro 4 ore lavorative, intervento on-site entro 24 ore su Roma e provincia.
Verifica la versione di PHP del tuo sito, consulenza gratuita →
Domande frequenti
Devo aggiornare WordPress per questa falla?
No. WordPress.org ha chiarito che non è richiesto né previsto un aggiornamento di WordPress per PHP2Shell: serve aggiornare PHP. Aggiorna comunque WordPress alla 7.1.4, che è una release di sicurezza diversa.
Il mio hosting ha già risolto?
Può averlo fatto, soprattutto per le versioni supportate. Chiedine conferma per iscritto, indicando le due falle. Per le versioni fuori supporto il fornitore dovrebbe dirti se applica correzioni proprie e con quale data.
Un plugin di sicurezza di WordPress può proteggermi?
Non da solo. Per l’avviso di PHP, con mod_php l’attacco più grave può partire prima che giri il codice del sito. In quel caso un plugin non arriva in tempo. È un’inferenza nostra: la soluzione completa indicata da PHP resta l’aggiornamento.
Va bene PHP 8.2?
Oggi riceve la correzione, quindi sì, se è la 8.2.35 o successiva. Ma gli aggiornamenti di sicurezza terminano il 31 dicembre 2026: conviene passare a una versione più recente.
Come faccio a sapere se il mio sito è stato attaccato?
Controlla utenti amministratori sconosciuti, file nuovi o modificati e reindirizzamenti anomali, e chiedi all’hosting di guardare i registri degli accessi. Il consiglio è nostro: se hai dubbi, fai fare un controllo a chi gestisce il sito prima di aggiornare.
In breve
PHP2Shell riguarda ogni sito che gira su un PHP non aggiornato, anche se il sito stesso è aggiornato. Le correzioni ci sono per le versioni 8.2, 8.3, 8.4 e 8.5. Chi è su 8.1 o precedente deve cambiare versione, a meno che il fornitore non documenti per iscritto una correzione propria. Parti dalla versione di PHP del tuo sito e dalla risposta scritta del tuo hosting. Per gli altri controlli di base c’è la checklist dei 12 controlli di sicurezza. Lo stesso principio vale per ogni software fuori supporto, come spieghiamo per Windows 10 e nella panoramica di cybersecurity di ottobre.
Pubblicato il 2 novembre 2026. Ultimo aggiornamento: 2 novembre 2026.
Fonti
- PHP, Security advisory: Critical remote code execution vulnerabilities, update now, 21 ottobre 2026; pagine Supported Versions ed End of life.
- PHP su GitHub, avvisi GHSA-w8hw-w9fx-j79w (CVE-2026-109618) e GHSA-6wmf-4rv5-p3rp (CVE-2026-109619), 21 ottobre 2026.
- CISA, Known Exploited Vulnerabilities Catalog, voci aggiunte il 26 ottobre 2026 (consultato il 2 novembre 2026).
- WordPress.org, Critical PHP Security Release, 21 ottobre 2026, e WordPress 7.1.4, 28 ottobre 2026.
- AGI, alert dell’Agenzia per la Cybersicurezza Nazionale su PHP2Shell, 25 ottobre 2026.