PHP2Shell e WordPress: il tuo sito WordPress è vulnerabile?

Il mio sito WordPress è vulnerabile a PHP2Shell?

Il tuo sito WordPress è interessato se la versione di PHP su cui gira è precedente alla versione corretta del suo ramo, oppure se è PHP 8.1 o precedente senza una patch del fornitore. PHP2Shell è una coppia di falle in PHP stesso (CVE-2026-109618 e CVE-2026-109619), quindi ogni sito WordPress su un PHP non corretto è a rischio, qualunque siano il tema, i plugin o la versione di WordPress.

Come controllo il mio sito WordPress per PHP2Shell in due minuti?

Ti serve un account da amministratore. Non ti serve l’accesso al server.

1. Nell’area di amministrazione di WordPress apri Strumenti → Salute del sito (Tools → Site Health).
2. Passa alla scheda Info e apri la sezione Server.
3. Annota la Versione PHP e il PHP SAPI (il modo in cui viene eseguito PHP, per esempio FPM o Apache).
4. Inseriscili nel verificatore PHP2Shell. Li confronta con le versioni corrette e ti dice cosa fare.

Salute del sito mostra il PHP che serve davvero il tuo sito, cioè la versione che conta. Un php -v sul server può indicare un PHP da riga di comando diverso. Altri modi per controllare: controllare la versione PHP.

Aggiornare WordPress, il tema o i plugin corregge PHP2Shell?

No. PHP2Shell si trova nel runtime di PHP, sotto WordPress. Gli aggiornamenti del core, dei temi e dei plugin non cambiano la versione di PHP del tuo server. Continua comunque ad aggiornarli, ma la correzione per PHP2Shell arriva solo aggiornando PHP a una versione corretta o al pacchetto corretto del tuo fornitore.

PHP2Shell e wp2shell sono la stessa cosa?

No. wp2shell è una vulnerabilità distinta nel core di WordPress, che si corregge aggiornando WordPress. PHP2Shell è in PHP e si corregge aggiornando PHP. Cercando “php2shell wordpress” i motori di ricerca a volte mostrano risultati su wp2shell, quindi controlla entrambe le cose:

• wp2shell: il core di WordPress è aggiornato (Bacheca → Aggiornamenti).
• PHP2Shell: la versione di PHP in Salute del sito è uguale o successiva alla versione corretta del suo ramo.

Chi aggiorna PHP per il mio sito WordPress?

Dipende da come è ospitato il sito.

Se hai solo l’accesso all’amministrazione di WordPress, invia al tuo provider la richiesta già pronta nella guida alla patch PHP2Shell.

Aggiornare PHP può rompere il mio sito WordPress?

Passare a una release più recente dello stesso ramo, per esempio da 8.3.30 a 8.3.36, porta solo correzioni e raramente crea problemi a WordPress. Cambiare ramo, per esempio da 7.4 a 8.3, può rompere temi e plugin datati. Prima di cambiare ramo fai un backup del sito e, se il tuo hosting la offre, prova su una copia di staging. Vedi versione PHP di WordPress per cambiare versione in sicurezza.

Un plugin di sicurezza o Cloudflare proteggono WordPress da PHP2Shell?

Possono ridurre l’esposizione, ma non sono una correzione. Cloudflare riferisce che il suo WAF blocca schemi di attacco noti e di aver osservato tentativi di attacco già prima della patch. Un plugin di sicurezza per WordPress funziona sopra PHP, quindi non può correggere il runtime di PHP, e PHP ha confermato almeno un percorso di attacco che viene eseguito prima di qualsiasi codice dell’applicazione. Finché non aggiorni, consulta la soluzione temporanea per CVE-2026-109618 per le misure temporanee ufficiali e i loro limiti.

Come controllo se il mio sito WordPress è già stato violato?

Aggiornare PHP ferma i nuovi attacchi, ma non dice nulla sul passato. In WordPress cerca:

• Utenti: account amministratore che non riconosci (Utenti → filtra per Amministratore).
• Upload: file .php dentro wp-content/uploads, che dovrebbe contenere solo file multimediali.
• Plugin must-use: file sconosciuti in wp-content/mu-plugins, che non compaiono nel normale elenco dei plugin.
• Plugin e temi: tutto ciò che non hai installato tu e i file modificati di recente che non hai toccato.

Se trovi qualcosa, segui la checklist completa per le compromissioni prima di cambiare qualsiasi cosa, e dopo la pulizia cambia tutte le password e le chiavi in wp-config.php.

Cosa dovrebbero dire le agenzie web ai clienti WordPress?

Racconta cosa hai fatto, non solo qual è il rischio: quale versione di PHP usa ora ogni sito, che è uguale o successiva alla versione corretta e che hai controllato eventuali segni di compromissione. La guida alla patch PHP2Shell contiene un avviso per i clienti da adattare, e il verificatore PHP2Shell dà un giudizio rapido per ogni sito.