Il php2shell-checker di OpenAI: come eseguirlo e leggere i risultati

Che cos’è il php2shell-checker di OpenAI?

php2shell-checker è uno strumento open source che OpenAI ha pubblicato il 21 ottobre 2026, con licenza Apache 2.0, in concomitanza con la divulgazione coordinata di PHP2Shell (CVE-2026-109618 e CVE-2026-109619). È un breve script Node.js con due modalità:

• Modalità URL: invia una richiesta HEAD a un sito e cerca una versione di PHP negli header X-Powered-By e Server. Ripiega su GET solo se la HEAD viene rifiutata, non segue i redirect e non legge la pagina.
• Modalità locale: esegue php -v sulla macchina e legge la versione.

Poi confronta la versione con una tabella interna dell’ultima release vulnerabile di ogni ramo, da 5.4 a 8.5. Non invia traffico d’attacco: le istruzioni di OpenAI dicono esplicitamente di non eseguire sonde di exploit.

Come eseguo il checker di OpenAI?

Ti servono Node.js e una copia del repository da GitHub. Dalla cartella del repository:

• Sul tuo server, per controllare il PHP da riga di comando: node phpcheck.js --local
• Sul tuo sito web: node phpcheck.js "https://your-site.example"
• Per un output leggibile da programmi, aggiungi --json.

Usa la modalità URL solo su siti che possiedi o gestisci. Il PHP da riga di comando controllato da --local può essere diverso da quello che serve il sito, quindi verifica anche cosa riporta il sito stesso, per esempio in WordPress da Strumenti → Salute del sito → Info → Server.

Cosa significano OK, VULNERABLE e UNKNOWN?

UNKNOWN non significa che il sito sia al sicuro. La maggior parte dei server ben configurati nasconde la versione di PHP negli header, quindi la modalità URL restituisce spesso UNKNOWN.

Dove può sbagliare il checker di OpenAI?

Confronta solo i numeri di versione, e OpenAI lo dice chiaramente: un OK non verifica in modo indipendente la presenza di una correzione di sicurezza. Nella pratica contano tre casi:

• Backport delle distribuzioni: Ubuntu, Debian, Red Hat e altri correggono pacchetti PHP con numeri più vecchi. Un 8.3.6-0ubuntu0.24.04.13 patchato risulta comunque VULNERABLE. Vedi aggiornare PHP su Ubuntu e Debian.
• Numeri di build di pannelli e fornitori: sui rami vecchi, qualsiasi numero sopra la soglia risulta OK, compresi numeri che PHP non ha mai rilasciato. BaoTa (宝塔) e aaPanel distribuiscono build patchate come 7.4.34 e 8.1.35, ma 8.0.27 è sia una build di BaoTa sia una vecchia release non patchata.
• Header: un proxy o una CDN può nascondere o riscrivere X-Powered-By, e un solo server può ospitare molti siti con versioni di PHP diverse.

Come lo combino con il verificatore PHP2Shell?

Incolla l’output dello strumento direttamente nel campo della versione del verificatore PHP2Shell. Accetta l’output --json, una riga come OK: PHP 8.3.36, l’output di php -v o un header X-Powered-By: PHP/8.3.36, ed estrae la versione. Poi scegli da dove arriva il tuo PHP, per esempio da un pacchetto del sistema operativo, da BaoTa / aaPanel o da un altro pannello di controllo. Così il verificatore può tenere conto dei backport e delle build dei pannelli che un semplice confronto di versioni non vede. Il controllo avviene nel tuo browser e niente di ciò che incolli viene inviato altrove.

Le versioni corrette sono:

Se il risultato dice che sei colpito, segui la guida alla patch PHP2Shell per la tua configurazione. Dopo l’aggiornamento, cerca segni di un’intrusione precedente con la checklist di compromissione.