Il Primo Aggiornamento: Il 21 ottobre sono state corrette due falle gravissime nel motore di PHP. Ecco cosa sono, chi riguardano e quali interventi servono.

Il 21 ottobre 2026 il team di sviluppo di PHP ha pubblicato aggiornamenti straordinari per correggere due vulnerabilità critiche, identificate come CVE-2026-109618 e CVE-2026-109619 e note come PHP2Shell. Hanno ricevuto un punteggio di gravità di 9,2 su 10. Le ha individuate un gruppo di ricercatori di Calif, OpenAI e Wiz.

Di cosa si tratta
Sono difetti nel modo in cui PHP gestisce la memoria in condizioni di errore. In pratica, un attaccante può inviare richieste costruite ad arte a un sito e ottenere l’esecuzione di codice sul server, senza bisogno di password. Una delle due falle può inoltre rivelare parte della memoria del server, dove possono trovarsi credenziali e chiavi di accesso.

Il difetto è nel motore PHP, non nel CMS o in un plugin. Per questo sono esposti i siti realizzati con WordPress, Joomla, Drupal, PrestaShop, Magento e con qualunque altro software PHP.

Perché è urgente

• La gravità è massima, e le falle sono sfruttabili da remoto senza autenticazione.
• Sono stati segnalati tentativi di sfruttamento già prima della pubblicazione ufficiale.
• L’ACN ha diffuso un alert, e in Europa alcuni enti hanno disattivato temporaneamente i propri siti in via precauzionale.

Quali versioni sono sicure
Le versioni corrette sono PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Le versioni PHP 8.1 e precedenti non ricevono più aggiornamenti ufficiali: per i siti che le usano la soluzione è passare a una versione supportata.

Cosa facciamo per i vostri siti
L’intervento di messa in sicurezza comprende:

1. Verifica della versione PHP attiva su ogni sito.
2. Aggiornamento a una versione corretta e supportata.
3. Test di funzionamento del sito dopo l’aggiornamento. Se qualcosa non funziona a causa del nuovo PHP, come un tema o un plugin datato, lo ripariamo noi, in modo che il sito torni a funzionare normalmente.
4. Controlli di sicurezza: ricerca di segnali di compromissione e, dove opportuno, sostituzione di password e chiavi di accesso.

Cosa devi fare tu
Rispondi alla newsletter, scrivici o telefonaci per concordare l’intervento sul tuo sito. Ti consigliamo di non aspettare: più tempo passa, più a lungo il sito resta esposto.

Domande frequenti

• Devo aggiornare il mio CMS o i plugin? Non basta: il problema è nella versione di PHP che gira sul server, quindi serve un intervento a quel livello.
• Il mio sito è stato attaccato? Non abbiamo evidenze in questo senso. Proprio per questo è utile intervenire subito e includere i controlli di sicurezza.
• Il sito smetterà di funzionare? L’aggiornamento di PHP può creare incompatibilità con componenti datati. Per questo accompagniamo l’intervento con test prima e dopo. Se qualcosa non funziona come prima, lo ripariamo noi.