Vulnerabilità PHP2Shell: cos'è, chi è interessato e quanto è grave

Quali sono le due vulnerabilità PHP2Shell?

Sono entrambe bug di sicurezza della memoria in PHP stesso, corretti nelle stesse release.

Ognuna ha la sua pagina: CVE-2026-109618 e CVE-2026-109619.

Chi è interessato dalla vulnerabilità PHP2Shell?

Qualsiasi installazione di PHP che risponde a richieste web con una versione non corretta. L’avviso di PHP elenca PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed, e indica il rischio più alto per mod_php, dove un exploit dimostrato viene eseguito prima di qualsiasi codice dell’applicazione. La ricerca originale riporta che almeno una delle falle risale fino a PHP 5.4.

PHP 8.1 e le versioni precedenti non ricevono nuove release; PHP ha pubblicato patch minime dei sorgenti solo per 7.4, 8.0 e 8.1. Le versioni corrette sono:

Quanto è grave PHP2Shell?

È critica. Esecuzione di codice da remoto significa che un attaccante potrebbe eseguire comandi con i permessi del tuo server web: modificare o inserire file, leggere configurazioni come le password del database e installare una backdoor che sopravvive all’aggiornamento. La ricerca descrive anche un modo per far trapelare la memoria del processo. Se un determinato server sia attaccabile dipende comunque dalla sua versione di PHP, dalla configurazione, dalla disposizione della memoria e dall’applicazione.

Quali governi hanno lanciato avvisi su PHP2Shell?

Le agenzie nazionali di cybersicurezza di Asia, Europa e Nord America hanno lanciato l’allarme sulla vulnerabilità PHP2Shell. Quasi tutte chiedono alle organizzazioni di aggiornare subito; diverse consigliano di mettere offline o isolare i servizi che non si possono correggere, e alcune ricordano che PHP è integrato anche in prodotti e dispositivi. In Italia, ACN / CSIRT Italia invita ad aggiornare, a controllare i log alla ricerca di segni di compromissione e a valutare di mettere offline i sistemi se non si riesce ad aggiornare in tempo; non abbiamo ancora verificato questo avviso alla fonte.

Come mai tanti siti sono andati offline per PHP2Shell?

Soprattutto per precauzione. I governi hanno chiesto alle organizzazioni di mettere offline i sistemi PHP se non potevano applicare subito la patch, e molte lo hanno fatto. Reuters ha riferito il 21 ottobre 2026 che questi enti avevano messo offline siti o servizi:

• Germania: il fornitore informatico federale ITZBund, che ha parlato di misura “puramente preventiva”.
• Francia: i siti delle prefetture, in attesa della patch.
• Belgio: i siti del ministero degli Esteri.
• Paesi Bassi: il porto di Rotterdam, Overheid.nl, i cinque maggiori partiti politici e molti ospedali, seguendo l’esempio del National Cyber Security Centre.
• Finlandia: i servizi web governativi gestiti da Valtori, come “misura precauzionale”.
• Repubblica Ceca: il sito del governo, su consiglio della sua autorità per la cybersicurezza.
• Wikimedia Foundation: alcuni sistemi, “finché non potranno essere corretti in sicurezza”.

In Giappone anche provider di hosting come Xserver e Lolipop hanno sospeso per precauzione i pannelli di controllo. Un sito offline o in manutenzione non è per forza un sito violato.

Quanti server sono esposti a PHP2Shell?

Le stime variano perché ogni scanner conta una cosa diversa. Palo Alto Networks Unit 42 ha segnalato oltre 22,6 milioni di istanze esposte “potenzialmente vulnerabili”, sulla base della propria telemetria e senza definire cosa intenda per istanza. Un server che dichiara un vecchio numero di PHP può avere già un backport del fornitore, e un solo server può ospitare molti siti: prendi qualsiasi cifra come un ordine di grandezza, non come il numero di siti attaccabili.

La vulnerabilità PHP2Shell viene sfruttata?

Sono stati osservati tentativi di attacco, ma nessuna compromissione riuscita è stata confermata. Cloudflare ha segnalato traffico di attacco contro i suoi clienti e attaccanti che modificavano i payload per aggirare le sue regole già prima del rilascio della correzione. Nessuna delle fonti che abbiamo controllato al 22 ottobre 2026 conferma una violazione riuscita tramite PHP2Shell, il che non significa che nessuno la stia sfruttando. CISA e il Canadian Centre for Cyber Security hanno entrambi dichiarato di non aver osservato sfruttamenti al momento della pubblicazione. Sansec si aspetta uno sfruttamento di massa ora che la patch e le analisi tecniche sono pubbliche.

Sono comparsi anche repository che dicono di contenere exploit funzionanti. Non li abbiamo verificati e non li linkiamo. Non scaricare né eseguire codice da quei repository.

PHP2Shell colpisce ogni sito PHP allo stesso modo?

No. “Almeno una falla presente da PHP 5.4” descrive dove si trova il codice vulnerabile, non dimostra che un unico attacco funzioni contro ogni sito. I punteggi CVSS di entrambe le falle indicano una complessità di attacco alta e segnalano che devono esserci determinate condizioni, e PHP indica mod_php come il caso a rischio più alto. D’altra parte, Sansec riferisce che i ricercatori hanno confermato l’esecuzione di codice contro applicazioni molto diffuse e che le configurazioni predefinite sono vulnerabili. L’ipotesi prudente è che un PHP esposto sul web e non corretto sia attaccabile.

PHP2Shell e wp2shell sono la stessa cosa?

No. wp2shell è il nome di una vulnerabilità critica distinta nel core di WordPress, che si corregge aggiornando WordPress. PHP2Shell è in PHP stesso e si corregge aggiornando PHP. I motori di ricerca a volte confondono i due nomi, quindi controlla i numeri CVE quando leggi un consiglio.

PHP2Shell riguarda anche Node.js, Java o altri linguaggi?

No. PHP2Shell è una falla del runtime di PHP, quindi conta solo dove un server esegue PHP. Un sito realizzato con Node.js, Java, Python o un altro linguaggio senza PHP non è interessato da questi due CVE. Gli altri runtime pubblicano le proprie correzioni di sicurezza, quindi aggiornali seguendo i rispettivi avvisi, e ricorda che uno stesso server può eseguire più di un linguaggio.

Perché si chiama PHP2Shell?

PHP2Shell è il nome usato nell’analisi originale di Wiz Research. Descrive lo scenario peggiore: una richiesta a un sito PHP potrebbe concludersi con un attaccante che esegue comandi (una shell) sul server. I titoli ufficiali degli avvisi sono “RCE via OOM corruption” e “RCE via stale global state”.

Cosa devo fare adesso?

1. Controlla il tuo PHP con il verificatore PHP2Shell.
2. Aggiorna seguendo la guida alla patch PHP2Shell.
3. Se hai aggiornato in ritardo, segui la guida per capire se il tuo sito è stato violato.

Quali fonti supportano questa pagina?

• The PHP Group: RCE via OOM corruption
• The PHP Group: RCE via stale global state
• The PHP Group: avviso di sicurezza
• Wiz Research: la ricerca originale
• Cloudflare: protezioni WAF
• Sansec: ricerca su PHP2Shell
• Rapid7: wp2shell, una vulnerabilità distinta del core di WordPress