PHP2Shell: vulnerabilità critiche di PHP, cosa fare subito

Se la tua azienda ha un sito WordPress, un e-commerce o un gestionale che si usa dal browser, la cosa da fare subito è una: farti confermare per iscritto da chi gestisce il server che PHP è aggiornato alle versioni corrette del 21 ottobre 2026, cioè 8.5.12, 8.4.27, 8.3.36 o 8.2.35.

Le due falle note come PHP2Shell permettono a chiunque di eseguire comandi sul server da remoto, senza credenziali. Aggiornare WordPress o i plugin non basta: la correzione riguarda il PHP installato sul server, e la deve applicare chi lo gestisce, cioè il fornitore di hosting o il tuo fornitore IT.

Gli attacchi sono già in corso: Amazon ha osservato un primo tentativo il 17 ottobre, quattro giorni prima dell'annuncio, e dal 21 ottobre segnala tentativi diffusi in tutto il mondo. Chi non ha ancora aggiornato è esposto adesso.

Cos'è PHP2Shell

PHP2Shell è il nome con cui sono note due vulnerabilità critiche di PHP, il linguaggio su cui funzionano WordPress e moltissimi siti e gestionali web: la CVE-2026-109618 e la CVE-2026-109619. Il team di PHP le ha corrette il 21 ottobre 2026. Secondo la CISA, l'agenzia statunitense per la sicurezza informatica, permettono di eseguire codice da remoto senza autenticazione e riguardano tutte le installazioni PHP che servono pagine web.

La mia azienda è a rischio?

Lo è se usa un sito o un'applicazione che gira su PHP: un sito WordPress, un e-commerce, un'area riservata per i clienti, un gestionale accessibile dal browser. Spesso PHP è nascosto dentro altri prodotti e in azienda nessuno sa che c'è: per questo la CISA raccomanda, come primo passo, di fare l'inventario dei sistemi che lo usano.

Sono a rischio tutte le versioni precedenti alle correzioni: le 8.2, 8.3, 8.4 e 8.5 non ancora aggiornate, e tutte le versioni dalla 8.1 in giù, che non ricevono più aggiornamenti ufficiali dal progetto PHP.

Cosa rischia un'azienda

Chi sfrutta queste falle può eseguire comandi sul server con i permessi del sito. In pratica può modificare le pagine per inserire link di spam o codice che infetta i visitatori, leggere i dati salvati, come quelli raccolti dai moduli di contatto, e usare il server per inviare spam a nome del tuo dominio.

Le conseguenze sono concrete: il sito segnalato da Google come pericoloso, la posta aziendale che finisce nello spam e, se sono coinvolti dati personali, una violazione da valutare e, se comporta un rischio per le persone, da notificare al Garante entro 72 ore.

Cosa deve fare l'azienda e cosa il fornitore di hosting

Su un hosting condiviso o gestito, PHP lo aggiorna il fornitore. Il tuo compito è chiedergli per iscritto quale versione di PHP serve il tuo sito e se la correzione è già installata, o quando lo sarà. Se invece il sito o il gestionale girano su un server vostro o su una macchina virtuale, l'aggiornamento tocca a chi la gestisce: il fornitore IT o il reparto informatico.

Se il sito usa ancora PHP 8.1 o una versione più vecchia, la strada è passare a una versione supportata, insieme a chi gestisce il sito, perché alcuni plugin datati potrebbero smettere di funzionare.

Il progetto PHP precisa che non esistono mitigazioni complete: l'aggiornamento è l'unica soluzione. Quando non si può aggiornare subito, la CISA raccomanda di mettere offline i sistemi fino alla correzione; un firewall per applicazioni web dà solo una protezione temporanea. Dopo l'aggiornamento conviene far controllare i registri del server alla ricerca di attività sospette a partire dal 17 ottobre, data del primo tentativo osservato.

Perché aggiornare WordPress non basta

WordPress, i temi e i plugin sono programmi scritti in PHP. Le due falle stanno nel linguaggio stesso, cioè nel software installato sul server: per questo un aggiornamento di WordPress, di un tema o di un plugin di sicurezza lascia il problema dov'è. Lo stesso vale per i gestionali web e per qualsiasi applicazione PHP: serve l'aggiornamento di PHP sul server che li fa funzionare.

Quando serve una verifica tecnica

Se la tua azienda gestisce server propri, dopo aver ricostruito con chi li gestisce quali sistemi usano PHP, una verifica tecnica autorizzata, come un vulnerability assessment, controlla le versioni esposte su internet e le mette in ordine di priorità. Sui siti in hosting condiviso la verifica dall'esterno spesso non riesce a leggere la versione, perché molti fornitori la nascondono: lì vale la conferma scritta del fornitore.

Per le aziende che rientrano nella NIS2, la gestione delle vulnerabilità fa parte delle misure di sicurezza richieste: un episodio come questo va gestito e documentato. Il quadro completo è nella guida NIS2, e le regole di base sono nell'articolo su come proteggere l'azienda dagli attacchi informatici.

Vuoi capire se la tua azienda è esposta? Raccontaci quali siti e gestionali usate. Con la vostra autorizzazione scritta verifichiamo i siti e i server che esponete su internet e, se i server sono vostri, con il vostro referente IT controlliamo anche i sistemi interni. Dove la versione di PHP è nascosta, come negli hosting condivisi, ti diciamo cosa chiedere al fornitore. Il nostro percorso è nella pagina NIS2 e cybersecurity.

Siamo consulenti di sicurezza informatica a Napoli e affianchiamo aziende ed enti in Campania e in tutta Italia.

Fonti

Avvisi di sicurezza del progetto PHP per la CVE-2026-109618 e per la CVE-2026-109619, annuncio delle versioni corrette sul sito ufficiale di PHP, avviso della CISA del 21 ottobre 2026 e analisi di Amazon Threat Intelligence sui tentativi di attacco. Fonti verificate il 23 ottobre 2026.