Nella serata del 20 ottobre, è arrivato un monito di sicurezza da PHP, uno dei linguaggi di programmazione più utilizzati per lo sviluppo di siti web e applicazioni. Il team di sviluppo ha annunciato il rilascio straordinario di patch di sicurezza per correggere due vulnerabilità critiche, entrambe classificate con un punteggio di gravità CVSS 9.2 su 10.
Le vulnerabilità, identificate come CVE-2026-109618 e CVE-2026-109619 e associate al nome PHP2Shell, potrebbero consentire a un malintenzionato di eseguire codice da remoto sui server vulnerabili, compromettendo potenzialmente siti web, applicazioni e dati.
La situazione richiede particolare attenzione perché il problema riguarderebbe direttamente PHP e non una specifica piattaforma o un singolo plugin. Di conseguenza, potrebbero essere esposti numerosi servizi online, compresi quelli sviluppati con CMS come WordPress, Joomla, Drupal e Magento.
Il team di PHP ha programmato il rilascio delle patch per mercoledì 21 ottobre 2026, alle ore 16:00 italiane, invitando gli utenti a prepararsi per installarle tempestivamente.
Indice dei contenuti:
PHP2Shell: cosa sappiamo delle due vulnerabilità critiche
Le vulnerabilità sono state rese note il 20 ottobre, dopo la diffusione anticipata di alcune informazioni che avrebbero dovuto rimanere riservate fino alla pubblicazione degli aggiornamenti di sicurezza.
In seguito alla fuga di notizie, è stato pubblicato un avviso ufficiale, anticipando il rilascio delle correzioni e invitando gli utenti a prepararsi all’aggiornamento.
Le due vulnerabilità hanno ricevuto un punteggio CVSS v4.0 di 9.2, corrispondente a un livello di gravità critico.
Secondo le prime notizie, si tratterebbe di vulnerabilità di tipo Remote Code Execution (RCE), potenzialmente sfruttabili per eseguire codice sui sistemi interessati.
Che cosa significa Remote Code Execution (RCE)?
Una vulnerabilità RCE permette, quando sfruttabile, di eseguire codice su un sistema da remoto, senza la necessità di accedervi fisicamente.
Nel caso di un server web, un attaccante potrebbe riuscire a eseguire operazioni non autorizzate, con conseguenze che dipendono dai privilegi del processo compromesso e dalle misure di sicurezza presenti.
I possibili rischi includono:
- Accesso non autorizzato a file e informazioni riservate.
- Modifica o cancellazione dei contenuti di un sito web.
- Compromissione di applicazioni e database.
- Installazione di malware o strumenti per mantenere l’accesso al sistema.
- Utilizzo delle risorse del server per ulteriori attività malevole.
La gravità delle due vulnerabilità PHP deriva quindi dalla possibilità che un attacco coinvolga non soltanto il sito web, ma anche l’ambiente server che ne permette il funzionamento.
Quali versioni di PHP sono vulnerabili?
Uno degli aspetti più preoccupanti riguarda la possibile estensione del problema. Stando alle prime informazioni, le vulnerabilità potrebbero interessare numerose versioni di PHP, comprese release risalenti a diversi anni fa.
Alcune analisi indicano come potenzialmente coinvolte le versioni a partire da PHP 5.4. Tuttavia, l’elenco ufficiale delle versioni vulnerabili non è ancora stato reso noto ufficialmente e sarà necessario attendere i dettagli tecnici associati alle patch per avere un quadro definitivo.
In questo scenario, un ulteriore elemento da considerare è il ciclo di supporto del linguaggio: le versioni obsolete potrebbero non ricevere direttamente gli aggiornamenti correttivi ufficiali, rendendo necessario il passaggio a una release supportata oppure l’adozione di correzioni specifiche fornite dal gestore dell’infrastruttura.
WordPress, Joomla e Magento sono a rischio?
La potenziale portata delle vulnerabilità è particolarmente ampia perché PHP costituisce la base tecnologica di moltissime piattaforme tra cui WordPress, Joomla, Magento, PrestaShop.
È importante chiarire che la presenza di PHP non significa automaticamente che un sito sia compromesso o che sia possibile attaccarlo senza condizioni.
L’effettiva esposizione dipenderà dalle versioni interessate, dalle configurazioni dei server e dalle modalità di sfruttamento delle vulnerabilità.
Come proteggere il proprio sito dalle vulnerabilità di PHP
In attesa del rilascio delle patch ufficiali, può essere utile adottare alcune misure preventive per ridurre il rischio di compromissione e prepararsi a intervenire rapidamente.
1. Verificare la versione PHP utilizzata
Il primo passo consiste nell’identificare la versione PHP utilizzata dal proprio sito web. In un ambiente hosting, questa informazione è disponibile nel pannello di controllo del servizio. Se hai un piano Hosting con Shellrent, ti basterà accedere alla pagina di gestione del pannello Manager.
2. Installare le patch di sicurezza appena disponibili
Il team PHP ha programmato la pubblicazione degli aggiornamenti correttivi per il 21 ottobre 2026, alle ore 16:00 italiane.
Una volta disponibili, sarà necessario aggiornare PHP a una versione che includa le correzioni per entrambe le vulnerabilità. L’aggiornamento deve essere effettuato seguendo le indicazioni ufficiali e verificando la compatibilità con il CMS, i plugin e le applicazioni installate.
Non è sufficiente utilizzare una versione recente di PHP: occorre verificare che includa espressamente le patch di sicurezza.
Per seguire gli aggiornamenti è possibile consultare il comunicato ufficiale del team PHP.
3. Eseguire un backup completo
Prima di intervenire sulla configurazione del server è consigliabile effettuare un backup completo del sito web, comprensivo di file e database. Il backup permette di ripristinare il servizio in caso di problemi di compatibilità o malfunzionamenti durante l’aggiornamento.
4. Prestare particolare attenzione alle versioni obsolete
I siti web che utilizzano versioni PHP non più supportate potrebbero trovarsi in una situazione particolarmente delicata. Le release obsolete, infatti, in genere non ricevono gli aggiornamenti di sicurezza ufficiali e potrebbero richiedere interventi aggiuntivi.
Per questo motivo, è consigliabile pianificare la migrazione verso una versione PHP supportata, dopo aver verificato la compatibilità delle applicazioni.
Nei casi in cui non sia possibile intervenire immediatamente, può essere opportuno limitare temporaneamente l’esposizione pubblica dei servizi più a rischio, valutando le misure con il proprio amministratore o hosting provider.
Le vulnerabilità PHP sono già sfruttate dagli hacker?
La diffusione anticipata delle informazioni sulle vulnerabilità ha aumentato il livello di attenzione della comunità di cybersecurity.
Secondo le analisi pubblicate da diverse società di sicurezza, le falle sarebbero reali e potrebbero rappresentare un obiettivo particolarmente interessante per i cybercriminali, proprio per l’ampia diffusione di PHP.
Al momento delle prime segnalazioni, tuttavia, non risultavano conferme di attacchi attivi su larga scala riconducibili specificamente a queste due vulnerabilità.
La società di cybersecurity Sansec ha avvertito che potrebbero verificarsi tentativi di sfruttamento automatizzati molto rapidamente dopo la pubblicazione delle patch, quando saranno disponibili maggiori dettagli tecnici. Si tratta di una previsione di rischio, non della conferma di attacchi già avvenuti.
