Il mio sito è vulnerabile a PHP2Shell? Come verificare la versione di PHP

WindowsMacAggiornato 2026-10-24

Il 21 ottobre 2026 il team di sicurezza di PHP ha rilasciato le correzioni per due vulnerabilità critiche, CVE-2026-109618 e CVE-2026-109619, che l'agenzia statunitense CISA indica con il nome «php2shell». Le versioni corrette sono PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Per capire a che punto è il tuo sito ti serve un solo dato: la versione di PHP su cui gira. Questa guida è aggiornata al 23 ottobre 2026.

Risposta breve

Trovi la versione di PHP del sito in WordPress in Strumenti > Salute del sito > Informazioni > Server, nel pannello di controllo dell'hosting, oppure chiedendo all'hosting. Secondo l'avviso PHP le versioni corrette sono 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Se la tua è precedente alla correzione del suo ramo, chiedi all'hosting di aggiornarla.

Quali versioni di PHP sono vulnerabili e quali corrette?

L'avviso PHP del 21 ottobre 2026 dice che le vulnerabilità riguardano tutte le installazioni di PHP che rispondono a richieste web, e che possono permettere l'esecuzione di codice da remoto senza autenticazione. In pratica qualcuno potrebbe eseguire comandi propri sul server senza fare login.

L'alert del CSIRT Italia, il team dell'Agenzia per la cybersicurezza nazionale, indica queste versioni vulnerabili, e il progetto PHP una versione corretta per ogni ramo supportato:

La tua versione inizia con	Vulnerabile se precedente a
8.5	8.5.12
8.4	8.4.27
8.3	8.3.36
8.2	8.2.35

Le note di rilascio di queste versioni dicono: «There are no complete mitigations, updating is the only safe choice», cioè non esistono mitigazioni complete e aggiornare è l'unica scelta sicura.

Sullo sfruttamento, al 23 ottobre 2026: l'alert della CISA del 21 ottobre, rivisto il 23 ottobre, dice che l'agenzia non ha osservato sfruttamenti riusciti di queste vulnerabilità nel mondo reale al momento della pubblicazione. Il CSIRT Italia segnala che in rete sono disponibili proof of concept per entrambe le vulnerabilità. L'avviso PHP parla di un exploit dimostrato su una configurazione diffusa, Apache con mod_php, che considera la più a rischio.

Come vedo la versione di PHP in WordPress?

WordPress la mostra in Salute del sito. La pagina italiana di WordPress.org sull'aggiornamento di PHP dà questo percorso:

Accedi alla Bacheca di WordPress.
Dal menu laterale scegli Strumenti > Salute del sito.
Seleziona la scheda Informazioni.
Espandi la sezione Server.
Scorri fino a Versione di PHP.

La stessa pagina avverte che in Bacheca o in Salute del sito potresti aver visto un avviso come «Aggiornamento PHP necessario» o «Aggiornamento di PHP consigliato», e li descrive come promemoria importanti per aggiornare PHP.

Come vedo la versione di PHP in cPanel?

Se il tuo hosting usa cPanel, lo strumento che nella documentazione di cPanel (in inglese) si chiama MultiPHP Manager elenca i tuoi domini e la versione di PHP di ciascuno. La documentazione lo colloca nella sezione Software.

Accedi a cPanel.
Apri MultiPHP Manager.
Cerca il tuo dominio nell'elenco e leggi la sua versione di PHP.

Se accanto al dominio compare l'indicazione Inherited, secondo cPanel il dominio usa la versione predefinita del sistema, che solo l'amministratore del server può impostare. In quel caso la versione, e il suo aggiornamento, dipendono dall'hosting. Se non trovi MultiPHP Manager, cPanel spiega che l'hosting può averlo disattivato.

Altri pannelli di hosting hanno schermate proprie, con nomi diversi: le pagine di aiuto del tuo hosting sono il posto dove cercare.

E se non trovo la versione di PHP?

Chiedila all'hosting. La pagina di WordPress.org suggerisce di scrivere al fornitore di hosting se non compare nel suo elenco di istruzioni, e offre anche un modello di messaggio. Per questo problema bastano due domande:

Quale versione di PHP usa il mio sito in questo momento?
È stata aggiornata alla versione corretta indicata nell'avviso di sicurezza PHP del 21 ottobre 2026 (8.5.12, 8.4.27, 8.3.36 o 8.2.35)?

Se sullo stesso account hai più siti o domini, chiedi per ognuno: la documentazione di cPanel mostra che ogni dominio può usare una versione diversa.

La mia versione non è corretta. Cosa faccio?

Aggiorna PHP, o fallo aggiornare all'hosting. L'avviso PHP elenca alcune impostazioni temporanee che riducono l'esposizione, ma precisa che non rendono sicura un'installazione. Il CSIRT Italia raccomanda di aggiornare e, se non è possibile farlo subito, di valutare di mettere offline i siti e i servizi web che usano versioni vulnerabili fino all'aggiornamento.

Come aggiornare dipende da chi gestisce il server:

Su un hosting condiviso o gestito, PHP è dell'hosting. Chiedi di spostare il sito sulla versione corretta, o su un ramo supportato che ne abbia una.
Se il pannello ti fa scegliere la versione, forse puoi cambiarla da solo. La guida su come aggiornare PHP su WordPress ti accompagna, con un backup prima.

Il CSIRT Italia raccomanda anche, indipendentemente dall'aggiornamento, di analizzare i log per cercare segni di sfruttamento o di compromissione. La guida sito hackerato, cosa fare parte da lì.

E se il mio sito usa PHP 8.1 o una versione precedente?

Il progetto PHP scrive che PHP 8.1 e le versioni precedenti «no longer receive updates from the PHP project», cioè non ricevono più aggiornamenti dal progetto. Aggiunge che alcune distribuzioni e fornitori con supporto a lungo termine offrono correzioni retroportate, e suggerisce di contattare il fornitore o passare a una versione supportata. Il team di sicurezza di PHP ha pubblicato anche correzioni minime del codice sorgente per 7.4, 8.0 e 8.1, pensate per chi compila PHP da sé. La CISA consiglia di mettere offline i sistemi che usano ancora PHP 8.1 o versioni precedenti, finché non vengono aggiornati.

Per un sito personale questo significa chiedere all'hosting se ha applicato una correzione alla tua versione. Se non l'ha fatto, la risposta del progetto PHP è passare a una versione supportata.

La pagina delle versioni supportate di PHP indica che PHP 8.2 riceve aggiornamenti di sicurezza solo fino al 31 dicembre 2026: un sito su 8.2.35 è corretto per ora, ma dovrà passare presto a un ramo più recente. WordPress.org raccomanda PHP 8.3 o superiore.

Un controllo online può dirmi se sono al sicuro?

Nessuna delle pagine ufficiali elencate sotto parla di strumenti di controllo online. L'avviso PHP fornisce un elenco di versioni corrette, quindi il controllo che conta è la versione del tuo sito e se è uguale o successiva alla correzione del suo ramo. Te lo confermano l'hosting, Salute del sito o il tuo pannello.

Altre domande

Che cos'è PHP2Shell?

È il nome con cui, secondo la CISA, sono note le vulnerabilità CVE-2026-109618 e CVE-2026-109619. Sono difetti di PHP stesso, non di WordPress o di un plugin. La guida alla vulnerabilità PHP spiega il resto.

PHP 8.3.36 è al sicuro da PHP2Shell?

PHP 8.3.36 è la versione corretta del ramo 8.3 secondo l'avviso PHP del 21 ottobre 2026. Il 23 ottobre PHP ha pubblicato anche un avviso informativo su un problema separato e improbabile, legato a configurazioni insolite delle sessioni.

Se WordPress è aggiornato, il mio sito è coinvolto?

Sì, può esserlo. Le vulnerabilità sono in PHP, il linguaggio su cui funziona WordPress. Tenere aggiornati WordPress, temi e plugin resta una buona pratica, ma la correzione per questo problema è una versione di PHP più recente.

L'hosting dice che ha già aggiornato. Devo fare qualcosa?

Confronta la versione in Salute del sito o nel pannello con l'elenco delle versioni corrette, così sai che vale anche per il tuo sito. Se hai più domini, controllali tutti.