PHP2Shell: verifica se il tuo PHP è vulnerabile e correggilo

Cosa bisogna sapere su PHP2Shell?

Parti da qui: cos’è PHP2Shell, chi ha lanciato l’allarme e cosa è confermato e cosa no.

Cos’è PHP2Shell ed è davvero grave?

PHP2Shell è il nome che Wiz Research ha dato a due falle di sicurezza della memoria nel runtime di PHP: CVE-2026-109618 (“RCE via OOM corruption”) e CVE-2026-109619 (“RCE via stale global state”). Il progetto PHP le classifica entrambe come critiche (punteggio CVSS 4.0 di 9.2), perché una richiesta proveniente da internet può portare all’esecuzione di codice da remoto: un attaccante potrebbe eseguire comandi con i permessi del tuo server web, modificare i file del sito e leggere le password del database.

Le falle sono in PHP, non in WordPress, Drupal o in un’altra applicazione, quindi riguardano qualsiasi sito il cui PHP risponde alle richieste web con una versione non corretta. La pagina sulla vulnerabilità PHP2Shell spiega i due bug, chi è interessato e cosa non si sa ancora.

Quali governi hanno lanciato avvisi su PHP2Shell?

Le agenzie nazionali di cybersicurezza di oltre una dozzina di Paesi e regioni, tra cui Stati Uniti (NSA, FBI), Regno Unito (NCSC), Unione europea (CERT-EU), Giappone, Germania, Francia e Singapore, hanno diffuso avvisi su PHP2Shell. Quasi tutte chiedono alle organizzazioni di individuare dove usano PHP e di aggiornarlo subito, e diverse consigliano di mettere offline o isolare un sito che non si può correggere. In Italia ha pubblicato un avviso anche ACN / CSIRT Italia, che non abbiamo ancora verificato alla fonte. Consulta l’elenco completo degli avvisi nazionali su PHP2Shell, con il link all’avviso di ogni agenzia.

Uso solo internet e non ho un sito. Devo fare qualcosa?

No, non devi fare nulla sul tuo telefono o sul tuo computer per PHP2Shell. La correzione va installata sui server web da chi gestisce i siti. Alcuni prodotti, come i NAS o altri dispositivi con una pagina di amministrazione web, integrano PHP, come sottolineano diverse agenzie nazionali: tieni attivi gli aggiornamenti del firmware e installali quando il produttore li rilascia. Cambia una password solo se è il servizio che usi a chiedertelo, e diffida di email o SMS che usano PHP2Shell come pretesto per farti “aggiornare” qualcosa o accedere a un account: i truffatori seguono le grandi notizie di sicurezza.

PHP2Shell viene già sfruttata dagli attaccanti?

Sono stati segnalati tentativi di attacco, ma nessuna compromissione riuscita è stata confermata. Cloudflare ha dichiarato di aver osservato traffico di attacco e attaccanti che modificavano i payload già prima del rilascio della correzione. Nessuna delle fonti che abbiamo controllato al 22 ottobre 2026 conferma che un sito sia stato davvero violato tramite PHP2Shell; questo non significa che nessuno la stia sfruttando. L’affermazione, molto condivisa, secondo cui i siti sarebbero stati violati entro 15 minuti dalla patch non trova riscontro nelle fonti che abbiamo controllato: Sansec ha scritto di aspettarsi uno sfruttamento di massa, senza indicare tempi. In ogni caso, aggiorna ora.

Perché così tanti siti sono offline per PHP2Shell?

Soprattutto per precauzione. Le agenzie di Stati Uniti, Regno Unito, UE e Giappone hanno chiesto alle organizzazioni di mettere offline i sistemi PHP se non potevano applicare subito la patch, e siti governativi in Germania, Francia, Paesi Bassi, Finlandia e Repubblica Ceca, il porto di Rotterdam e alcuni sistemi di Wikimedia sono andati offline, secondo Reuters. Offline non vuol dire violato. Vedi chi ha messo offline i propri siti.

I recenti furti di dati sono colpa di PHP2Shell?

Non abbiamo trovato prove pubbliche che colleghino specifici furti di dati recenti a PHP2Shell. Alcuni provider di hosting hanno sospeso temporaneamente servizi o funzioni per precauzione, per esempio Lolipop e Sakura Internet in Giappone; una sospensione precauzionale non equivale a una violazione. Considera non verificati i post che attribuiscono una determinata fuga di dati a PHP2Shell, a meno che non sia l’azienda coinvolta a dirlo.

PHP2Shell e wp2shell sono la stessa cosa?

No. wp2shell è il nome di una vulnerabilità critica distinta nel core di WordPress, che si corregge aggiornando WordPress. PHP2Shell è in PHP e si corregge aggiornando PHP. Se usi WordPress, assicurati che siano aggiornati sia WordPress sia PHP.

Il mio sito è vulnerabile a PHP2Shell?

Trova il PHP che il tuo sito usa davvero, poi confrontalo con le versioni corrette.

Il mio sito WordPress è vulnerabile anche se ho aggiornato i plugin?

Probabilmente sì, finché non l’hai verificato. WordPress funziona su PHP, quindi un sito WordPress è interessato quando il PHP che lo serve è precedente alla versione corretta del suo ramo. Aggiornare WordPress, i temi o i plugin non corregge PHP2Shell; solo un aggiornamento di PHP lo fa. In WordPress apri Strumenti → Salute del sito → Info → Server (Tools → Site Health → Info → Server) per vedere la versione di PHP. La nostra guida alla versione PHP di WordPress ti accompagna passo per passo.

Per la verifica completa di un sito WordPress, vedi PHP2Shell e WordPress.

Dove vedo la versione di PHP che usa il mio sito?

Guarda in uno di questi punti:

• WordPress: Strumenti → Salute del sito → Info → Server.
• Pannello di controllo dell’hosting: le impostazioni PHP del tuo dominio.
• Server o container: php -v su quella macchina o dentro quel container. Mostra il PHP da riga di comando, che può essere diverso dal PHP che serve il sito, quindi verifica quale pool PHP-FPM o modulo Apache serve il sito web.

Inserisci quello che trovi nel verificatore della versione PHP. La guida controllare la versione PHP descrive tutti i metodi.

Si può verificare il mio sito online per PHP2Shell?

In parte. Il verificatore PHP2Shell può leggere la versione di PHP che il tuo sito dichiara nelle intestazioni HTTP, con la logica di php2shell-checker di OpenAI. Invia una sola richiesta ordinaria e nient’altro. Molti siti nascondono quell’intestazione, e un’intestazione può essere sbagliata o non riflettere un backport del fornitore, quindi una versione assente o che sembra vecchia non è l’ultima parola. La verifica più sicura resta la versione indicata nel pannello di controllo o in Salute del sito, inserita nello stesso verificatore.

Il mio sito è già stato violato?

Una verifica della versione non può dirtelo. Prima aggiorna PHP, poi cerca modifiche che non hai fatto tu: utenti amministratori sconosciuti, file PHP nelle cartelle di upload, file modificati di recente e attività pianificate che non hai creato. Se trovi qualcosa, conserva le prove, cambia le password e ripristina un backup pulito. Segui la guida per capire se il tuo sito è stato violato.

Come si corregge PHP2Shell?

Aggiorna PHP a una versione corretta o al pacchetto corretto del tuo fornitore, poi riavvia PHP.

Quale versione di PHP corregge PHP2Shell?

Queste sono le prime versioni corrette di ogni ramo supportato; qualsiasi release successiva dello stesso ramo contiene anch’essa la correzione. Le distribuzioni Linux spesso applicano la correzione in backport nei propri pacchetti senza cambiare il numero di versione di PHP, quindi un numero più basso di Ubuntu o Debian può essere comunque corretto. La guida alla patch PHP2Shell spiega come aggiornare e come verificare che abbia funzionato.

Ho un hosting condiviso. Il mio provider correggerà PHP2Shell da solo?

Su un hosting condiviso o gestito il PHP è installato dal provider, quindi è il provider a dover fornire la versione corretta. Alcuni provider aggiornano automaticamente; altri ti fanno scegliere la versione di PHP per ogni sito, e la correzione si applica solo quando ne scegli una corretta. Controlla la versione indicata dal tuo sito, poi chiedi all’assistenza. La guida alla patch contiene un messaggio già pronto per il tuo hosting.

E se uso PHP 7.4, 8.0 o 8.1?

Questi rami non ricevono più release di PHP, quindi non esiste una nuova release ufficiale 7.4, 8.0 o 8.1 con la correzione. Vista la gravità, PHP ha pubblicato patch minime dei sorgenti per 7.4, 8.0 e 8.1 per chi compila PHP da sé, e alcune distribuzioni Linux e fornitori di supporto a lungo termine distribuiscono pacchetti con il backport; per esempio, il pacchetto php8.1 di Ubuntu 22.04 è corretto. I rami precedenti alla 7.4 non hanno alcuna patch ufficiale. La soluzione duratura è passare a un ramo supportato. Vedi fine del supporto di PHP e PHP2Shell.

Come spiego PHP2Shell al mio capo, ai clienti o all’hosting?

Attieniti ai fatti: quali siti usano PHP, quale versione usa ciascuno, chi la aggiornerà ed entro quando. Per i responsabili: “PHP, su cui girano i nostri siti, ha due vulnerabilità critiche; le correzioni sono disponibili; aggiorneremo e verificheremo ogni sito entro il [data].” La guida alla patch contiene una richiesta pronta da inviare ai provider di hosting.

E se oggi non posso aggiornare PHP?

Le misure temporanee riducono l’esposizione ad alcuni percorsi di attacco specifici. Nessuna di esse è una correzione.

Uso Cloudflare o un altro WAF: devo aggiornare comunque PHP?

Sì. Un WAF protegge solo in parte, e solo il traffico che passa da lì. Cloudflare ha attivato regole WAF per tutti i piani con il WAF abilitato, compreso quello gratuito, circa nove ore prima della divulgazione, e ha segnalato attaccanti che modificavano i payload per aggirarle. Un WAF filtra schemi di attacco noti; non cambia il PHP sul tuo server, e le richieste che arrivano direttamente al server lo scavalcano. Un WAF è un livello in più, non una correzione: aggiorna PHP anche se usi Cloudflare. Vedi PHP2Shell e Cloudflare per cosa controllare e regole WAF per PHP2Shell per AWS WAF, Fastly e Imperva.

Disattivare session.upload_progress basta?

No. Secondo PHP, impostare session.upload_progress.enabled=0 blocca alcuni percorsi di attacco confermati per CVE-2026-109619, non tutte le varianti, e non serve a nulla contro CVE-2026-109618. Inoltre funziona solo se impostato prima dell’analisi della richiesta e seguito dal riavvio di tutti i processi PHP. Come dice PHP stesso, solo un aggiornamento è una soluzione completa. La pagina sulla soluzione temporanea per PHP2Shell elenca tutte le misure temporanee ufficiali per entrambe le falle e i loro limiti.

L’annuncio di sicurezza di PHP è esplicito: “only an update is a complete solution” (solo un aggiornamento è una soluzione completa). — Annuncio di sicurezza di PHP

Da dove vengono queste informazioni?

Dall’annuncio di sicurezza di PHP, dai due avvisi di sicurezza su GitHub, dai bollettini dei fornitori Linux, dalle agenzie nazionali di cybersicurezza e dalla ricerca originale. Li abbiamo controllati il 22 ottobre 2026. Non eseguiamo mai exploit.

• The PHP Group: avviso di sicurezza e versioni corrette
• Avviso GitHub: RCE via OOM corruption
• Avviso GitHub: RCE via stale global state
• Wiz Research: la ricerca originale su PHP2Shell
• Cloudflare: protezione WAF per PHP2Shell
• Sansec: ricerca e cronologia su PHP2Shell
• Canonical: bollettino di sicurezza Ubuntu per PHP
• Debian: annuncio di sicurezza per php8.4
• Lolipop: avviso di sospensione precauzionale (X)
• Nikkei: Sakura Internet sospende alcune funzioni
• Rapid7: wp2shell, una vulnerabilità distinta del core di WordPress