Vulnerabilità critiche di PHP (PHP2Shell): cosa è successo e cosa fare

Il 21 ottobre 2026, il team di PHP rilascerà un aggiornamento di sicurezza di emergenza. Questo aggiornamento corregge due vulnerabilità critiche nell'interprete PHP stesso, che consentono a un utente malintenzionato di eseguire codice su un server da remoto. Le vulnerabilità sono già state identificate con il nome non ufficiale di PHP2Shell.

I vostri siti web continuano a funzionare. Di seguito trovate una descrizione di quanto accaduto, i soggetti interessati, le azioni già intraprese e le azioni da intraprendere.

Quello che è successo

Il team di sicurezza di PHP ha annunciato la risoluzione di due vulnerabilità critiche. Entrambe hanno un punteggio di 9.2 su 10 nella scala CVSS v4.0. I ricercatori le identificano con i codici CVE-2026-109618 e CVE-2026-109619.

Le correzioni sono state rilasciate il 21 ottobre alle 14:00 UTC (17:00 ora di Mosca) . Il rilascio era inizialmente previsto per il giorno successivo, ma i dettagli delle vulnerabilità sono trapelati prima del previsto e PHP ha anticipato la data di rilascio. Secondo Patchstack, i provider di hosting avevano già segnalato tentativi di sfruttamento la mattina del 21 ottobre.

Chi è interessato

La vulnerabilità non risiede in un CMS o in un plugin, bensì nel PHP stesso. Qualsiasi sito web che utilizzi una versione vulnerabile di PHP è a rischio: WordPress, WooCommerce, Joomla, Drupal, 1C-Bitrix, Magento, Laravel e progetti personalizzati. L'aggiornamento del CMS e dei plugin non protegge da questo problema.

Secondo le prime segnalazioni, tutte le versioni di PHP dalla 5.4 in poi sono interessate. Le correzioni ufficiali saranno rilasciate solo per i rami supportati:

PHP pubblicherà l'elenco esatto delle versioni interessate e di quelle corrette insieme al rilascio. Aggiorneremo questo articolo non appena sarà disponibile.

Cosa si sa e cosa non è stato ancora rivelato

PHP non ha ancora pubblicato i dettagli tecnici. Tutto ciò che si sa finora proviene da una fuga di notizie e da analisi condotte da ricercatori indipendenti.

• Le vulnerabilità consentono l'esecuzione di codice arbitrario sul server senza autenticazione: è sufficiente una richiesta appositamente creata al sito web;
• almeno uno di essi è correlato al meccanismo di monitoraggio dell'avanzamento del caricamento dei file (session.upload_progress), che è abilitato in PHP per impostazione predefinita;
• Secondo i ricercatori, il secondo si trova nel gestore del caricamento dei file e non dipende da questa impostazione.

Non sarà confermato ufficialmente fino all'uscita:

• una descrizione precisa delle vulnerabilità e delle condizioni di attacco;
• l'elenco delle versioni interessate e corrette;
• indicatori di compromissione (IoC).

Gli esperti di sicurezza prevedono attacchi di massa entro pochi minuti dalla pubblicazione delle correzioni: confrontando il vecchio e il nuovo codice, gli aggressori scopriranno rapidamente come funziona la vulnerabilità. Per questo motivo, l'aggiornamento non deve essere rimandato.

Cosa stiamo facendo

Senza attendere il comunicato ufficiale, abbiamo adottato misure su tutta la nostra infrastruttura:

1. Sono state aggiunte le regole di filtraggio delle richieste. che bloccano lo scenario di attacco noto. Questa è una misura limitata: alcuni attacchi potrebbero aggirare il filtro, quindi serve solo a guadagnare tempo fino all'aggiornamento.
2. Monitoraggio intensificatoMonitoriamo le attività sospette dei processi PHP sui nostri server e i crash di PHP che potrebbero indicare tentativi di attacco.
3. Aggiornamento PHP preparato. Non appena la release sarà disponibile, installeremo le versioni corrette per le branche 8.2–8.5 su tutti i server di hosting condiviso. Vi informeremo separatamente al termine dei lavori.

Le misure temporanee riducono il rischio ma non eliminano completamente la vulnerabilità. L'unica protezione affidabile è l'aggiornamento di PHP.

Cosa devi fare

Se utilizzi un hosting condiviso

Ci occupiamo noi della maggior parte del lavoro. Tutto ciò che devi fare è:

1. Verifica la tua versione di PHP nella sezione delle impostazioni PHP del pannello di controllo di ciascun sito web.
2. Se la versione è 8.2 o successivaNon è necessaria alcuna azione: installeremo automaticamente la versione corretta.
3. Se la versione è 8.1 o precedente, passare il sito web a PHP 8.2 o versioni successive (vedere la sezione successiva).
4. Non riattivare session.upload_progress nelle tue impostazioni PHP, anche se le istruzioni di un plugin lo suggeriscono.

Se disponi di un server VPS o dedicato

Sui server VPS e dedicati, la gestione di PHP è a carico dell'utente e non possiamo aggiornarlo per conto nostro. Si prega di eseguire le seguenti operazioni il prima possibile:

1. Trova tutte le versioni di PHP installate sul server. Tieni presente che i pannelli di controllo (ISPmanager, cPanel, Plesk, FastPanel e altri) spesso mantengono diverse versioni contemporaneamente.
2. Disabilita il monitoraggio dell'avanzamento del caricamento fino al rilascio dell'aggiornamento. Per PHP-FPM, aggiungi queste righe alla configurazione di ogni pool, ad esempio /etc/php/8.3/fpm/pool.d/www.conf: php_admin_flag[session.upload_progress.enabled] = off php_admin_flag[session.use_strict_mode] = on Se PHP viene eseguito come modulo Apache (mod_php), imposta questi parametri in php.ini e riavviare Apache. Questa impostazione non può essere modificata dal codice con ini_set().
3. Riavviare PHP-FPM e controlla il risultato: crea un file contenente <?php phpinfo(); nella directory principale del sito web, aprila in un browser e assicurati che session.upload_progress.enabled è disattivato. Elimina il file subito dopo. Verifica con php -i Nella console non funziona: mostra le impostazioni della riga di comando, non quelle del server web.
4. Aggiornare PHP Non appena i pacchetti corretti saranno disponibili nel repository della tua distribuzione o nel pannello di controllo, riavvia PHP-FPM o Apache: senza un riavvio, la vecchia versione continuerà a funzionare.

Secondo i ricercatori, disabilitare session.upload_progress Risolve solo una delle due vulnerabilità. Si tratta di una misura temporanea, non di un sostituto dell'aggiornamento.

Se il tuo sito web utilizza PHP 8.1 o versioni precedenti

Le versioni di PHP 8.1 e precedenti sono fuori supporto e non riceveranno più una correzione ufficiale. Questi siti web rimarranno vulnerabili finché non verranno migrati a una versione supportata.

1. Pianifica il passaggio a PHP 8.2 o versioni successive. Si consiglia di utilizzare PHP 8.4. Si noti che la versione 8.2 riceverà aggiornamenti di sicurezza solo fino al 31 dicembre 2026.
2. Verifica la compatibilità su una copia del tuo sito web. Il passaggio tra i rami è una migrazione, non un semplice aggiornamento: le versioni precedenti di CMS, temi e plugin potrebbero non funzionare con le versioni più recenti di PHP. Aggiorna prima il CMS e le estensioni, poi cambia la versione di PHP.
3. Se non è possibile migrare rapidamente, rimuovere l'accesso pubblico al sito web. Fino al completamento della migrazione: limitare l'accesso tramite indirizzo IP, password o VPN.

Se hai difficoltà a valutare autonomamente la compatibilità, contatta il nostro team di supporto: ti aiuteremo con la migrazione.

Come verificare se il tuo sito web è stato compromesso

Gli attacchi sono iniziati prima del rilascio della patch, quindi dopo aver aggiornato PHP è opportuno verificare che il proprio sito web non sia stato compromesso in precedenza. Prestare particolare attenzione al periodo successivo al 20 ottobre.

1. Controlla i file del tuo sito web Presta attenzione ai file PHP sconosciuti, soprattutto nelle cartelle di caricamento, cache e temporanee. Esamina attentamente i file modificati dopo il 20 ottobre.
2. Verifica i processi cron per voci non familiari.
3. Verifica gli account amministratore nel tuo CMS e su un VPS, utenti di sistema e chiavi in ~/.ssh/authorized_keys.
4. Esamina i log del server web. per richieste POST sospette con caricamento di file, soprattutto verso URL che non dovrebbero accettare caricamenti.
5. Su un VPS, controlla i processi: I processi PHP-FPM o Apache non dovrebbero avviarsi sh, bash, curl, wget, nc, python or perl.
6. Esegui una scansione del malware del tuo sito web utilizzando il pannello di controllo o uno scanner dedicato.

Se trovi qualcosa di sospetto, non cancellare subito i file: conserva copie e registri, cambia le password del CMS, del database e di FTP/SSH e contattaci.

Hai bisogno di aiuto?

Non sai quale versione di PHP utilizza il tuo sito web, hai bisogno di aiuto per migrare a una versione più recente o hai trovato qualcosa di sospetto sul tuo server? Contatta il nostro team di supporto: risolveremo il problema insieme.

Aggiorneremo questo articolo non appena PHP pubblicherà i dettagli ufficiali e i numeri di versione definitivi, e vi informeremo separatamente quando gli aggiornamenti saranno installati sui nostri server.