PHP2Shell.help
Italiano
Menu
Versioni corrette disponibili per PHP 8.2–8.5 Risorsa indipendente della community · fatti verificati il 22 ottobre 2026

Verificatore PHP2Shell / php2shell waf

Regole WAF per PHP2Shell: cosa offre ogni provider e perché non è una correzione

Il 21 ottobre 2026 diversi WAF hanno aggiunto protezioni per PHP2Shell: Cloudflare (attiva di default), AWS WAF (regole da aggiungere tu), Fastly Next-Gen WAF (virtual patch da attivare), Imperva (Cloud WAF di default, on-premise dopo un aggiornamento) e Tencent Cloud WAF. Un WAF filtra solo gli schemi d'attacco noti nel traffico che lo attraversa. Aggiornare PHP resta l'unica correzione completa.

Redazione di PHP2Shell.helpVerificato Fonti ufficiali ↓

Un WAF protegge da PHP2Shell?

Un WAF riduce il rischio ma non corregge PHP2Shell. PHP2Shell (CVE-2026-109618 e CVE-2026-109619) sta nel runtime di PHP, e l’annuncio di PHP dice che solo un aggiornamento è una soluzione completa. Le regole WAF bloccano gli schemi d’attacco noti nel traffico che attraversa il WAF. Gli attaccanti stanno già variando le richieste per aggirarle, e le richieste che arrivano al server per altre strade non vengono mai ispezionate.

Quali WAF hanno regole per PHP2Shell?

Questi provider hanno pubblicato protezioni per PHP2Shell. Tutto ciò che è in tabella viene dal post di ciascun provider, al 22 ottobre 2026:

ProviderCosa hanno rilasciatoDevi intervenire?
CloudflareSette regole gestite d’emergenza il 21 ottobre, più una regola lato risposta (post)Free: no. A pagamento: verifica che il Managed Ruleset sia su blocco. Vedi PHP2Shell e Cloudflare
AWS WAFIndicazioni nel bollettino AWS 2026-143: una regola sulla dimensione del body per CVE-2026-109618 e una regola personalizzata per CVE-2026-109619; AWS dice che aggiornerà il suo managed rule group per PHPSì: aggiungi le regole alla tua web ACL
Fastly Next-Gen WAFUna regola da template (virtual patch) che copre entrambe le CVE (post)Sì: attiva la regola da template
ImpervaCloud WAF protetto senza interventi; Elastic WAF 2.2.1 e WAF Gateway V14.7 / V15.5 LTS dopo gli aggiornamenti (post)Cloud WAF: no. Elastic WAF e WAF Gateway: applica gli aggiornamenti
Tencent CloudWAF e Cloud Firewall supportano la protezione; Host Security la rileva (avviso)Verifica nella console che la protezione sia attiva

L’avviso di sicurezza di Alibaba Cloud (22 ottobre 2026) chiede ai clienti che usano Alibaba Cloud WAF o Cloud Firewall di tenere attiva la protezione, precisando che riduce solo il rischio e non sostituisce l’aggiornamento; non indica regole specifiche. Al 22 ottobre 2026 non abbiamo trovato un avviso ufficiale di Akamai su PHP2Shell.

Cosa raccomanda AWS WAF per PHP2Shell?

AWS indica due controlli compensativi nel bollettino di sicurezza 2026-143-AWS:

  • Per CVE-2026-109618: la regola SizeRestrictions_BODY del Core rule set di AWS WAF, che blocca i body delle richieste oltre 8 KB (8.192 byte).
  • Per CVE-2026-109619: una regola personalizzata che blocca le richieste POST che contengono PHP_SESSION_UPLOAD_PROGRESS nel body insieme a PHPSESSID nel body o in un cookie. Il bollettino include il JSON della regola da copiare.

AWS dice che nessuna delle due è una mitigazione completa e che aggiornerà il managed rule group di AWS WAF per PHP. Per aggiornare PHP sui server, anche su EC2, Lightsail o Elastic Beanstalk, segui la guida alla patch PHP2Shell.

Perché un WAF da solo non basta?

I motivi sono tre:

  1. Aggiramento: il WAF vede solo il traffico che lo attraversa. Se il server accetta connessioni dirette, un attaccante che ne scopre l’indirizzo IP salta del tutto il WAF.
  2. Varianti: Cloudflare ha segnalato attaccanti che modificavano i payload per eludere le sue regole prima ancora che uscisse la patch. Le regole intercettano schemi noti; le nuove varianti possono passare finché le regole non vengono aggiornate.
  3. La falla resta: il PHP vulnerabile è ancora sul tuo server, insieme a qualsiasi altra strada per raggiungerlo.

Cosa devo fare oltre al WAF?

Aggiorna PHP alla versione corretta del tuo ramo:

RamoPrima versione corretta
PHP 8.28.2.35
PHP 8.38.3.36
PHP 8.48.4.27
PHP 8.58.5.12
8.1 e precedentiNessuna nuova release; patch ufficiali dei sorgenti per 7.4, 8.0 e 8.1

Controlla la tua versione con il verificatore PHP2Shell e segui la guida alla patch PHP2Shell. Finché non puoi aggiornare, abbina il WAF alle misure temporanee di PHP descritte nel workaround per CVE-2026-109618, e cerca segni di compromissione con la nostra checklist: un WAF aggiunto dopo la fuga di notizie non cancella un’intrusione avvenuta prima.

Un WAF può sostituire l'aggiornamento per PHP2Shell?

No. Tutti i provider elencati qui definiscono le proprie regole un controllo compensativo, e l'annuncio di PHP dice che solo un aggiornamento è una soluzione completa. Usa il WAF per guadagnare tempo e aggiorna PHP.

Queste regole WAF possono rompere il mio sito?

Sì, possono. La regola sulla dimensione del body suggerita da AWS blocca i body delle richieste oltre 8 KB, il che ferma moduli e upload grandi. Dove il provider lo consente, prova prima in modalità count o log e controlla le richieste bloccate dopo il passaggio al blocco.

Verifica se il tuo PHP è esposto a PHP2Shell

Inserisci la versione indicata dal tuo sito. La confrontiamo con la prima versione corretta del suo ramo e ti diciamo cosa fare.

Verificatore PHP2Shell →

Fonti

I fatti principali di questa pagina (versioni corrette, dettagli dei CVE, pacchetti dei fornitori e avvisi delle agenzie) provengono da fonti ufficiali. Ricerche, notizie e post della community sono indicati come tali.