Registro modifiche PHP2Shell: ogni modifica ai fatti e alle guide

Cosa è cambiato il 22 ottobre 2026?

• Verificatore: aggiunta la verifica tramite URL. Inserisci l’indirizzo di un sito e il verificatore legge la versione di PHP dalle intestazioni Server e X-Powered-By, con la logica di php2shell-checker di OpenAI, poi la valuta con le regole di questo sito. Invia una sola richiesta HEAD e non conserva nulla oltre a una cache di 5 minuti. Sono state aggiornate le pagine sulla privacy e sui termini.
• Verificatore: ora puoi incollare nel campo della versione l’output di php2shell-checker di OpenAI, una riga di php -v o un’intestazione X-Powered-By; il verificatore estrae la versione e applica le sue solite regole.
• Fatti: la pagina sulla vulnerabilità ora risponde alla domanda se Node.js, Java o altri linguaggi siano interessati: non lo sono, PHP2Shell riguarda solo i server che eseguono PHP.
• Guide: aggiunte guide alla correzione per singole configurazioni, ciascuna basata sull’avviso e sulla documentazione del fornitore: pannelli di controllo (Plesk, aaPanel, CyberPanel, CloudPanel, DirectAdmin, HestiaCP, 1Panel), provider di hosting (SiteGround, Hostinger, Kinsta, WP Engine, Cloudways, GoDaddy, Bluehost, AWS), server (AlmaLinux/RHEL/Rocky, Amazon Linux 2023, Windows/IIS, LiteSpeed, XAMPP), applicazioni (Magento, Drupal, Joomla, Laravel, Nextcloud, phpMyAdmin) e WAF (Cloudflare, AWS WAF e altri). Le guide disponibili in italiano sono elencate nella pagina sulla patch; le altre esistono per ora solo in inglese.
• Fatti: aggiunto il motivo per cui così tanti siti sono andati offline (spegnimenti precauzionali riportati da Reuters) e la stima di esposizione di Unit 42, con i suoi limiti.
• Fornitori: 宝塔 (l’edizione cinese di aaPanel) ha rilasciato le correzioni: PHP 8.2–8.5 corrispondono alle versioni corrette ufficiali, e 宝塔 ha distribuito proprie build corrette 7.4.34, 8.0.27 e 8.1.35. Il verificatore considera corrette 7.4.34 e 8.1.35 quando scegli “宝塔 / aaPanel” come origine. Riconosce solo la build esatta: un numero più alto come 8.0.30 è una vecchia release di php.net senza la correzione, e anche 8.0.27 è il numero di una vecchia release di php.net, quindi in entrambi i casi ora ti chiede di verificare nel pannello invece di mostrare “corretto”.
• Fatti: aggiunti altri quattro avvisi nazionali: CISA (Stati Uniti), CERT-In (India), ACN / CSIRT Italia (Italia) e la Direzione per la cybersicurezza della Turchia. L’elenco comprende ora 21 avvisi da 16 Paesi e regioni; Italia e Turchia sono indicate come non ancora verificate alla fonte. La voce del Canada rimanda ora all’allerta AL26-026, che abbiamo verificato.
• Fatti: CISA e il Canadian Centre for Cyber Security hanno dichiarato di non aver osservato sfruttamenti al momento della pubblicazione. Lo stato dello sfruttamento resta “tentativi di attacco osservati”, senza compromissioni riuscite confermate.
• Fatti: aggiunto il punteggio CVSS 4.0 di 9.2 sia per CVE-2026-109618 sia per CVE-2026-109619, dagli avvisi di sicurezza su GitHub.
• Fatti: aggiunte due misure temporanee ufficiali per CVE-2026-109618 dall’annuncio di PHP: rimuovere il limite di memoria di PHP e ridurre post_max_size. Come le altre misure temporanee, non valgono mai come correzione.
• Fatti: stato dello sfruttamento aggiornato a “tentativi di attacco osservati”. Cloudflare ha segnalato traffico di attacco e payload modificati prima della patch. Nessuna compromissione riuscita è confermata.
• Fatti: aggiunti i primi avvisi delle agenzie nazionali di cybersicurezza, ciascuno con l’indicazione se lo abbiamo verificato alla fonte.
• Fatti: confermate le patch minime dei sorgenti di PHP per PHP 7.4, 8.0 e 8.1 (nessuna nuova release per questi rami).
• Guide: aggiunte guide in giapponese per quattro provider di hosting giapponesi.
• Verificatore: i giudizi si basano solo sui dati che inserisci nel tuo browser; il sito non contatta mai il tuo server.
• Pagine CVE: CVE-2026-109618 e CVE-2026-109619 si aprono ora con una scheda della vulnerabilità generata dai nostri dati: CVSS, versioni interessate e corrette, configurazioni interessate, misure temporanee, stato dello sfruttamento, pacchetti corretti delle distribuzioni e fonti ufficiali.
• Guide: aggiunta la pagina PHP2Shell e WordPress, una verifica autonoma per chi gestisce un sito WordPress.

Cosa c’era nella prima versione del 21 ottobre 2026?

• Fatti: versioni corrette 8.2.35, 8.3.36, 8.4.27 e 8.5.12 dall’annuncio di sicurezza di PHP.
• Fatti: dettagli sulle vulnerabilità dagli avvisi GHSA-w8hw-w9fx-j79w e GHSA-6wmf-4rv5-p3rp.
• Fatti: versioni dei pacchetti dei fornitori dai bollettini di sicurezza di Ubuntu e Debian.
• Regole: verifica della versione con quattro giudizi: versione interessata, corrisponde a una versione corretta, verifica la patch del fornitore, non è ancora possibile stabilirlo.
• Guide: guida alla patch con un messaggio per i provider di hosting, più guide per WordPress, cPanel e Plesk, Ubuntu e Debian, Docker, PHP a fine supporto, soluzioni temporanee e controllo delle intrusioni.

Cosa seguiamo per questo registro?

Gli annunci e gli avvisi di sicurezza di PHP, i bollettini dei fornitori di sistemi operativi, gli annunci dei provider di hosting, le agenzie nazionali di cybersicurezza e la ricerca originale. Le modifiche solo formali non sono elencate; ogni fatto nuovo o corretto, regola di giudizio o passaggio di una guida sì.

Hai trovato un errore?

Indicaci la pagina e un link alla tua fonte; correggiamo rapidamente i fatti e annotiamo qui la correzione. Vedi chi siamo, oppure torna al verificatore PHP2Shell.