PHP2Shell: Cosa devono sapere ora le aziende sulla vulnerabilità critica di PHP

PHP2Shell è il nome di due vulnerabilità di sicurezza critiche nel linguaggio di programmazione PHP (CVE-2026-109618 e CVE-2026-109619), pubblicate il 21 ottobre 2026. Attraverso di esse, gli aggressori possono eseguire codice dannoso sui server web senza autenticazione e senza alcun intervento dell’utente. Il BSI classifica la situazione con livello di allerta 3/Arancione: le misure devono essere adottate immediatamente. L’unica protezione efficace è l’aggiornamento a una versione di PHP corretta.

PHP è alla base di gran parte di Internet: di WordPress, TYPO3, Joomla, Drupal, Shopware e Magento, ma anche delle interfacce web di firewall, router e sistemi di storage di rete. Per questo PHP2Shell non riguarda solo i reparti IT, ma quasi ogni azienda con un proprio sito web. Questo articolo riassume cosa è successo e cosa dovete fare ora. Stato: 24 ottobre 2026.

Cosa è successo?

Il 20 ottobre gli sviluppatori di PHP hanno annunciato con breve preavviso un aggiornamento di sicurezza critico, dopo che i dettagli erano trapelati in anticipo. Il 21 ottobre sono seguiti le patch e le descrizioni tecniche. Secondo Amazon Threat Intelligence, già il 17 ottobre c’era stato un tentativo di attacco, quindi prima della pubblicazione. Le vulnerabilità sono state scoperte, tra gli altri, dalla società di sicurezza Calif nell’ambito di un progetto con OpenAI e, indipendentemente, da Wiz – in entrambi i casi con il supporto di modelli di IA.

I fatti principali

Chi è interessato?

• Siti web e shop basati su PHP, ad esempio WordPress, TYPO3, Joomla, Drupal o Shopware – indipendentemente dal fatto che il CMS stesso sia aggiornato. È decisiva la versione di PHP sul server.
• Siti web ospitati: Nel caso di shared hosting e server gestiti, di solito è l’hosting provider a occuparsi dell’aggiornamento di PHP. Chiedete conferma.
• Server e container propri: Chi gestisce l’infrastruttura in autonomia deve aggiornare PHP e ricostruire le immagini Docker.
• Dispositivi con interfaccia web: Secondo il BSI, tra gli altri, sono almeno in parte interessati prodotti di F5, Citrix NetScaler, Palo Alto, OPNsense, pfSense, QNAP, Synology e cPanel. In questi casi aiutano solo gli aggiornamenti firmware dei produttori.

Cosa dovreste fare ora

1. Censimento: Quali siti web, shop, server e dispositivi con interfaccia web gestite? Anche PHP come parte di altri software rientra in questa categoria.
2. Verificare la versione di PHPe aggiornare a una versione patchata. Come farlo, lo mostra Il mio sito web è interessato?.
3. chiedere all’hoster e ai fornitori di servizi se gli aggiornamenti sono stati installati – per iscritto, con numero di versione.
4. aggiornare il firmware dei dispositivi,non appena i produttori rendono disponibili gli aggiornamenti.
5. Se non è possibile effettuare un aggiornamento:Il BSI raccomanda di valutare la separazione temporanea da Internet, poiché i workaround non offrono una protezione completa.
6. verificare la presenza di tracce di un attacco, ad esempio nuovi file PHP o processi insoliti. Dettagli in Sito web hackerato?.

Perché questa volta è così rapido

Il BSI segnala che gli aggressori, con strumenti supportati dall’IA, possono oggi analizzare le patch in breve tempo e sviluppare attacchi a partire da esse. Ha ritenuto probabile un’ampia sfruttamento già entro poche ore dalla pubblicazione delle patch. Il tempo tra rilascio e attacco si sta quindi riducendo. Gli aggiornamenti “prima o poi nelle prossime settimane” non bastano più.

Un Web Application Firewall non basta

Fornitori come Cloudflare hanno pubblicato regole contro vie di attacco note. Un Web Application Firewall (WAF) può rendere più difficili gli attacchi, ma secondo il BSI e l’autorità statunitense CISA non sostituisce un aggiornamento. Una protezione completa la offrono solo l’applicazione della patch o la separazione da Internet.

Non siete sicuri se il vostro sito web, il vostro shop online o i vostri dispositivi siano interessati? Contattateci. Esaminiamo i vostri sistemi, installiamo gli aggiornamenti e vi diciamo con onestà cosa fare – anche se dovesse risultare che va tutto bene. Per iniziare basta un breve colloquio.

Domande frequenti

Che cos'è PHP2Shell?

PHP2Shell è la denominazione di due vulnerabilità di sicurezza critiche in PHP (CVE-2026-109618 e CVE-2026-109619). Consentono agli aggressori di eseguire codice dannoso sui server web con PHP senza autenticazione. Il nome richiama la nota vulnerabilità Log4Shell.

Quali versioni di PHP sono sicure?

Sono state corrette le versioni PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Per le versioni non più supportate 7.4, 8.0 e 8.1 sono disponibili patch di backport; alcune distribuzioni Linux forniscono aggiornamenti propri, retroportati.

Il mio sito WordPress è interessato?

Se gira su un server con PHP non aggiornato, sì. Un aggiornamento di WordPress da solo non basta, perché la vulnerabilità è in PHP stesso. È decisivo se il vostro hosting ha aggiornato PHP.

Basta che se ne occupi il mio hosting?

Nel caso dell’hosting condiviso, di solito è il provider a occuparsene. Fatti comunque confermare che gli aggiornamenti siano stati installati e verifica inoltre se gestisci server o dispositivi propri con interfaccia web.

Aggiornato al: 24 ottobre 2026. Fonti: Avviso di sicurezza BSI su PHP2Shell, CISA.