PHP2Shell.help
Italiano
Menu
Versioni corrette disponibili per PHP 8.2–8.5 Risorsa indipendente della community · fatti verificati il 22 ottobre 2026

Verificatore PHP2Shell / cve 2026 109618

CVE-2026-109618: esecuzione di codice remoto in PHP tramite corruzione da memoria esaurita

CVE-2026-109618 (GHSA-w8hw-w9fx-j79w) è una vulnerabilità PHP critica, punteggio CVSS 4.0 di 9.2: se PHP esaurisce la memoria mentre prepara una richiesta, la pulizia successiva può usare dati inizializzati a metà e corrompere la memoria, fino all'esecuzione di codice remoto. È corretta in 8.2.35, 8.3.36, 8.4.27 e 8.5.12.

Redazione di PHP2Shell.helpVerificato Fonti ufficiali ↓

Scheda della vulnerabilità

CVE
CVE-2026-109618
Avviso GitHub
GHSA-w8hw-w9fx-j79w
Titolo ufficiale
RCE via OOM corruption
Gravità
Critica · CVSS 4.0 9.2CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Pubblicato
Verificato
Versioni interessate
  • PHP 8.2: inferiore a 8.2.35
  • PHP 8.3: inferiore a 8.3.36
  • PHP 8.4: inferiore a 8.4.27
  • PHP 8.5: inferiore a 8.5.12
  • 8.1 e precedenti (5.4+): Nessuna nuova release; patch ufficiali dei sorgenti per 7.4, 8.0, 8.1
Corretto in
8.2.358.3.368.4.278.5.12
Configurazioni interessate
PHP-FPM · Apache mod_php · CGI / FastCGI · FrankenPHP · LiteSpeed — Solo riga di comando: non determinato
Misure temporanee (non sono una correzione)
  • memory_limit = -1
  • post_max_size = 8M (32M if uploads are needed)
Tutte le misure temporanee e i loro limiti →
Sfruttamento
Tentativi di attacco osservati; compromissione riuscita non confermata (al 22 ottobre 2026)
Pacchetti corretti delle distribuzioni
  • Ubuntu 22.04 · php8.1 · 8.1.2-1ubuntu2.28
  • Ubuntu 24.04 · php8.3 · 8.3.6-0ubuntu0.24.04.13
  • Ubuntu 26.04 · php8.5 · 8.5.4-0ubuntu1.5
  • Ubuntu 26.10 · php8.5 · 8.5.9-0ubuntu2.1
  • Debian 13 · php8.4 · 8.4.27-1~deb13u1
  • 宝塔 / aaPanel · PHP 7.4 · 7.4.34
  • 宝塔 / aaPanel · PHP 8.0 · 8.0.27
  • 宝塔 / aaPanel · PHP 8.1 · 8.1.35
  • 宝塔 / aaPanel · PHP 8.2–8.5 · 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12
  • 1Panel · 1panel/php · 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 (-fpm)
Fonti ufficiali

Che cos’è CVE-2026-109618?

CVE-2026-109618 è una delle due vulnerabilità PHP2Shell. Il titolo ufficiale di PHP è “RCE via OOM corruption”, cioè esecuzione di codice remoto tramite corruzione da memoria esaurita (out of memory). Quando un’allocazione di memoria fallisce a metà della preparazione dei dati della richiesta, il codice di pulizia di PHP può toccare dati mai inizializzati del tutto. Una corruzione della memoria di questo tipo può permettere a un attaccante di eseguire codice con normali richieste web.

L’advisory di GitHub classifica CVE-2026-109618 come Critical, punteggio CVSS 4.0 di 9.2, vettore CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N: sfruttabile via rete, senza login e senza interazione dell’utente, anche se la complessità dell’attacco è valutata alta e servono determinate condizioni.

Quali versioni di PHP sono colpite da CVE-2026-109618?

Sono colpiti tutti i rami supportati sotto la rispettiva versione corretta. Lo sono anche i rami più vecchi: PHP ha pubblicato patch sul codice sorgente per 7.4, 8.0 e 8.1, ma nessuna nuova release, e la ricerca originale riferisce che almeno una delle falle PHP2Shell risale fino a PHP 5.4.

RamoPrima versione corretta
PHP 8.28.2.35
PHP 8.38.3.36
PHP 8.48.4.27
PHP 8.58.5.12
8.1 e precedentiNessuna nuova release; patch ufficiali dei sorgenti per 7.4, 8.0 e 8.1

Le distribuzioni Linux pubblicano pacchetti corretti propri, spesso con numeri di versione che sembrano più vecchi. La tabella qui sotto elenca anche immagini, pannelli e hosting il cui stato non abbiamo ancora verificato:

FornitoreReleasePacchettoVersione del pacchetto correttoStato
Ubuntu22.04php8.18.1.2-1ubuntu2.28Corretto
Ubuntu24.04php8.38.3.6-0ubuntu0.24.04.13Corretto
Ubuntu26.04php8.58.5.4-0ubuntu1.5Corretto
Ubuntu26.10php8.58.5.9-0ubuntu2.1Corretto
Debian13php8.48.4.27-1~deb13u1Corretto
Docker Official Images—php—Non verificato
宝塔 / aaPanel—PHP 7.47.4.34Corretto
宝塔 / aaPanel—PHP 8.08.0.27Corretto
宝塔 / aaPanel—PHP 8.18.1.35Corretto
宝塔 / aaPanel—PHP 8.2–8.58.2.35 / 8.3.36 / 8.4.27 / 8.5.12Corretto
XServer—PHP—Non verificato
ConoHa WING—PHP—Non verificato
ロリポップ！—PHP—Non verificato
1Panel—1panel/php8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 (-fpm)Corretto

Verificato tra il 21 ottobre 2026 e il 22 ottobre 2026.

Come si corregge CVE-2026-109618?

Aggiorna il PHP che serve il tuo sito alla versione corretta del suo ramo (o a una successiva), oppure installa il pacchetto patchato della tua distribuzione, poi riavvia tutti i worker PHP (pool PHP-FPM o Apache). La correzione di CVE-2026-109618 è contenuta nelle stesse release di CVE-2026-109619, quindi un solo aggiornamento le copre entrambe. Istruzioni passo passo: guida alla patch PHP2Shell.

Per PHP 7.4, 8.0 e 8.1, PHP ha pubblicato patch minime sul sorgente ma nessuna nuova release; i rami ancora più vecchi non hanno alcuna patch ufficiale. Vedi PHP end of life.

Perché esaurire la memoria si può sfruttare?

Di norma, se PHP interrompe una richiesta perché ha raggiunto il limite di memoria, si tratta solo di un errore. Con CVE-2026-109618, un attaccante può fare in modo che l’errore arrivi in un momento in cui i dati interni di PHP sono preparati solo a metà. La pulizia che segue lavora su dati incoerenti, e la memoria corrotta può essere guidata fino all’esecuzione di codice. Nascondere i messaggi di errore non serve: PHP precisa che error_reporting, display_errors e @ non cambiano nulla.

Esiste un workaround per CVE-2026-109618?

Non uno completo. PHP indica alcune misure temporanee che riducono l’esposizione, come togliere il limite di memoria di PHP e abbassare post_max_size, ma avverte che non rendono sicura un’installazione: un fallimento di allocazione sottostante può comunque raggiungere il codice vulnerabile. Dettagli e limiti: workaround per CVE-2026-109618.

Come capisco se il mio server è colpito da CVE-2026-109618?

Individua la versione di PHP e la configurazione che il tuo sito usa davvero e inseriscile nel PHP version checker. Il comando php -v da riga di comando può mostrare un PHP diverso da quello del sito; la guida per controllare la versione di PHP spiega dove guardare.

CVE-2026-109618 è già sfruttata attivamente?

Sono stati segnalati tentativi di attacco, ma nessuna compromissione riuscita è stata confermata. Cloudflare ha rilevato traffico d’attacco PHP2Shell contro i propri clienti ancora prima che uscisse la correzione. Nessuna delle fonti che abbiamo controllato al 22 ottobre 2026 conferma un’intrusione andata a segno, e non linkiamo codice di exploit. Considera esposto qualsiasi PHP non aggiornato raggiungibile dal web e aggiornalo.

Che differenza c’è tra CVE-2026-109618 e CVE-2026-109619?

CVE-2026-109618 riguarda la corruzione della memoria quando un’allocazione fallisce durante la preparazione della richiesta. CVE-2026-109619 riguarda invece uno stato residuo di una richiesta già conclusa che viene riutilizzato da una richiesta successiva. Le due falle sono corrette nelle stesse release e insieme prendono il nome di PHP2Shell. Panoramica: vulnerabilità PHP2Shell · verificatore PHP2Shell.

Quali fonti sostengono questa pagina?

Verifica se il tuo PHP è esposto a PHP2Shell

Inserisci la versione indicata dal tuo sito. La confrontiamo con la prima versione corretta del suo ramo e ti diciamo cosa fare.

Verificatore PHP2Shell →

Fonti

I fatti principali di questa pagina (versioni corrette, dettagli dei CVE, pacchetti dei fornitori e avvisi delle agenzie) provengono da fonti ufficiali. Ricerche, notizie e post della community sono indicati come tali.