PHP2Shell: due vulnerabilità critiche ricordano che la sicurezza web richiede manutenzione
Il 21 ottobre 2026 il progetto PHP ha rilasciato aggiornamenti per due vulnerabilità che, in determinate condizioni, possono consentire l’esecuzione di codice da remoto. Cosa devono verificare le aziende che gestiscono siti e applicazioni web.
Un sito può essere online, navigabile e apparentemente funzionare senza problemi. Questo, però, non dice se il software che lo esegue sia aggiornato.
È una distinzione diventata concreta con PHP2Shell, il nome usato per indicare due vulnerabilità critiche nel runtime PHP: CVE-2026-109618 e CVE-2026-109619. Il 21 ottobre 2026 il progetto PHP ha pubblicato aggiornamenti di sicurezza. Le vulnerabilità possono consentire a un attaccante non autenticato di eseguire codice da remoto in determinate condizioni. Il progetto PHP assegna a entrambe un punteggio CVSS v4.0 di 9,2 su 10.
Non significa che ogni sito PHP sia stato compromesso. Significa che le installazioni esposte devono essere identificate e aggiornate, tenendo conto di come PHP è installato e gestito.
Il problema si trova nel runtime
PHP è il linguaggio e l’ambiente di esecuzione su cui si basano molte applicazioni web. Le due vulnerabilità riguardano componenti interni del runtime: una è legata alla gestione di condizioni di memoria esaurita; l’altra a dati interni che possono restare associati a memoria già liberata. In specifici scenari, questi difetti possono portare all’esecuzione di codice arbitrario.
Per chi gestisce un sito, il punto pratico è che il rischio non dipende soltanto dal codice scritto per il sito o dal CMS utilizzato. Conta anche la versione PHP effettivamente in esecuzione, la configurazione del server e il tipo di installazione. Il progetto PHP indica tra i contesti interessati i sistemi che servono richieste web, inclusi PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed; segnala inoltre un rischio più elevato per Apache mod_php.
Per questo non basta controllare se la homepage si apre o se il sito è stato aggiornato di recente. La verifica riguarda l’ambiente che lo ospita.
Aggiornare è la misura principale
Le correzioni sono state distribuite nelle versioni PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12. Chi usa pacchetti gestiti da una distribuzione Linux, da un provider o da un pannello di hosting dovrebbe verificare le indicazioni del proprio fornitore: in alcuni casi le correzioni vengono applicate tramite pacchetti con versioni o numerazioni specifiche del vendor.
Una verifica operativa può partire da quattro domande:
- Quali siti, applicazioni e ambienti aziendali eseguono PHP, inclusi quelli meno visibili o gestiti da terze parti?
- Quale versione e quale build sono effettivamente in uso sui server esposti a Internet?
- È disponibile e installata una versione corretta o una patch verificata dal fornitore della piattaforma?
- Dopo l’aggiornamento, i processi PHP sono stati riavviati e la correzione è stata verificata nell’ambiente reale?
La documentazione del progetto PHP indica che l’aggiornamento a una release corretta è la mitigazione completa. Le misure temporanee possono ridurre alcuni percorsi di rischio quando non è possibile intervenire subito, ma non sostituiscono la patch. È quindi opportuno coordinare l’intervento con il provider o con chi amministra server e applicazioni, soprattutto quando l’infrastruttura è gestita esternamente.
La manutenzione fa parte del progetto
PHP2Shell mette in evidenza una responsabilità che resta attuale anche dopo la risoluzione di questa specifica vulnerabilità: un sito web non è un oggetto statico che termina con la pubblicazione. Dipende da runtime, server, componenti e servizi che evolvono e richiedono verifiche.
Per un’azienda, la gestione della sicurezza può includere un inventario degli ambienti, aggiornamenti pianificati, una responsabilità chiara per le piattaforme gestite da terzi e controlli dopo ogni intervento. Non sono attività da affrontare soltanto quando una vulnerabilità diventa una notizia: fanno parte della continuità operativa del servizio digitale.
Se non sai quale versione PHP esegue il tuo sito, chiedi al tuo provider o al referente tecnico di verificare versione, build e stato delle patch. La domanda utile non è solo «il sito funziona?», ma anche «il software che lo sostiene è aggiornato e chi ne segue la manutenzione?».
La sicurezza web comincia dalla conoscenza dell’infrastruttura e continua con aggiornamenti verificabili nel tempo.
