Patch PHP2Shell: versioni corrette di PHP e come aggiornare

Quali versioni di PHP contengono la patch PHP2Shell?

Queste sono le prime versioni corrette; qualsiasi release successiva dello stesso ramo contiene anch’essa la patch. Le distribuzioni Linux applicano la patch in backport nei propri pacchetti, spesso mantenendo un numero di versione che sembra più vecchio. La tabella seguente elenca anche immagini, pannelli e provider di hosting il cui stato non abbiamo ancora verificato:

PHP 8.1 e le versioni precedenti non ricevono nuove release. PHP ha pubblicato patch minime dei sorgenti per 7.4, 8.0 e 8.1, e alcune distribuzioni offrono pacchetti corretti per questi rami; vedi fine del supporto di PHP.

Quale guida alla patch PHP2Shell fa per la mia configurazione?

Le guide alla correzione di PHP2Shell disponibili in italiano, per configurazione:

• Pannelli di controllo: cPanel
• Hosting provider: Aruba, Register.it, Serverplan, IONOS, SiteGround
• Server e runtime: Ubuntu e Debian, Docker, PHP 7.4, 8.0, 8.1
• Applicazioni: WordPress
• WAF e CDN: Cloudflare, AWS WAF, Fastly, Imperva e altri

Le guide per altri pannelli, provider di hosting, sistemi operativi e applicazioni esistono per ora solo in inglese.

Come ottengo la patch PHP2Shell su un hosting condiviso?

Su un hosting condiviso è il provider a installare PHP. Alcuni provider aggiornano automaticamente; altri offrono diverse versioni di PHP per ogni sito, e ricevi la correzione solo dopo averne scelta una corretta.

1. Controlla la tua versione. In WordPress: Strumenti → Salute del sito → Info → Server. Altrimenti, le impostazioni PHP del pannello del tuo hosting.
2. Confrontala con le versioni corrette qui sopra, oppure usa il verificatore della versione PHP.
3. Passa a una versione corretta dello stesso ramo, se il pannello la offre.
4. Altrimenti chiedi al tuo provider, con il messaggio qui sotto.
5. Verifica la nuova versione quando ti rispondono.

Alcuni provider hanno sospeso temporaneamente per precauzione i propri pannelli di controllo o siti di servizio, per esempio XServer e Lolipop in Giappone. Se il tuo pannello non è disponibile, controlla la pagina di stato o gli avvisi del provider prima di cambiare qualcosa.

Cosa devo scrivere al mio provider di hosting?

Copia questo testo in un ticket di assistenza e sostituisci le parti tra parentesi quadre:

Buongiorno, il mio sito [example.com] è ospitato presso di voi. PHP ha rilasciato correzioni di sicurezza per le vulnerabilità PHP2Shell (CVE-2026-109618 e CVE-2026-109619).

Potete indicarmi:

1. Quale versione di PHP usa il mio sito?
2. Se è stata aggiornata a una versione corretta (8.2.35, 8.3.36, 8.4.27, 8.5.12 o successiva) o a un pacchetto del fornitore che include la correzione?
3. Se tutti i processi PHP sono stati riavviati dopo l’aggiornamento?
4. In caso contrario, quando verrà applicato l’aggiornamento e se devo fare qualcosa io?

Grazie.

Se il provider dice che il sito è corretto ma il numero di versione non è cambiato, chiedi quale pacchetto o bollettino di sicurezza contiene la correzione; i backport delle distribuzioni possono mantenere il vecchio numero.

Aggiornare PHP può rompere il mio sito?

Passare a una release più recente dello stesso ramo (per esempio da una release 8.3 precedente a 8.3.36) porta correzioni di bug e di sicurezza, non nuove funzioni, quindi raramente crea problemi. Cambiare ramo, per esempio da 7.4 a 8.3, può invece rompere temi, plugin o codice datati: fai un backup e prova prima su una copia di staging. Dopo l’aggiornamento controlla login, moduli, upload, pagamenti e attività pianificate, non solo la home page.

Come verifico che la patch PHP2Shell abbia funzionato?

• Riavvia tutti i processi PHP. I pool PHP-FPM e Apache continuano a usare il vecchio PHP finché non vengono riavviati.
• Controlla cosa indica il sito, non solo la riga di comando: Salute del sito di WordPress o il pannello di controllo. php -v sul server mostra il PHP da riga di comando, che può essere diverso. Inserisci il risultato nel verificatore della versione PHP.
• Ripeti per ogni sito, pool di worker e container. Un sito corretto non significa che lo siano anche gli altri.
• Se hai applicato la patch in ritardo, segui la guida per capire se il tuo sito è stato violato. La patch chiude la falla, ma non rimuove una backdoor.

E se oggi non riesco a installare la patch PHP2Shell?

Usa le misure temporanee ufficiali solo per guadagnare tempo: riducono l’esposizione ad alcuni percorsi di attacco, ma non sono una correzione e non rendono sicuro il sito. Vedi la pagina sulla soluzione temporanea per PHP2Shell. Se non puoi applicare la patch, diverse agenzie nazionali consigliano di mettere offline o isolare il sito finché non potrai farlo.

Come spiego la patch al mio responsabile o ai clienti?

Riporta i fatti: quali siti usano quale PHP, cosa è stato aggiornato, cosa è ancora in sospeso, chi se ne occupa e quando è previsto il prossimo aggiornamento. Tieni distinti “corretto” e “controllato per intrusioni”. Esempio: “I nostri siti usano PHP. Oggi sono state corrette due vulnerabilità critiche di PHP; abbiamo aggiornato [N] siti, [M] sono in attesa del nostro hosting, previsti entro il [data].” Torna al verificatore PHP2Shell.

Quali fonti supportano questa pagina?

• The PHP Group: avviso di sicurezza e versioni corrette
• Avviso GitHub GHSA-w8hw-w9fx-j79w
• Avviso GitHub GHSA-6wmf-4rv5-p3rp
• WordPress.org: aggiornare PHP
• WordPress.org: la schermata Salute del sito
• Canonical: bollettino di sicurezza Ubuntu
• Debian: annuncio di sicurezza
• cPanel: MultiPHP Manager
• Plesk: impostazioni PHP
• XServer: sospensione precauzionale del pannello di controllo (X)
• Lolipop: avviso di sospensione precauzionale (X)