Vulnerabilità PHP (PHP2Shell), cosa significa per te

MacWindowsiPhoneAndroidAggiornato 2026-10-24

PHP2Shell è il nome dato a due vulnerabilità critiche di PHP, CVE-2026-109618 e CVE-2026-109619, che il progetto PHP ha corretto il 21 ottobre 2026. PHP è il linguaggio su cui funzionano moltissimi siti web. In Italia il CSIRT Italia, il team dell'Agenzia per la cybersicurezza nazionale (ACN), ha pubblicato un alert: se sfruttate, le vulnerabilità potrebbero permettere a un attaccante remoto di eseguire codice arbitrario sui sistemi interessati. Questa guida è aggiornata al 23 ottobre 2026.

Risposta breve

PHP2Shell sono due vulnerabilità critiche di PHP, il linguaggio di molti siti web. Sono corrette in PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35, rilasciate il 21 ottobre 2026. Se hai un sito, controlla e aggiorna la sua versione di PHP. Se hai un NAS o un router, segui le indicazioni del produttore. Se visiti soltanto dei siti, la correzione spetta a chi li gestisce.

Che cos'è PHP2Shell?

Sono due difetti distinti di PHP, annunciati insieme. L'avviso del progetto PHP li descrive come vulnerabilità di esecuzione di codice da remoto: qualcuno potrebbe far eseguire a un server istruzioni proprie. L'agenzia statunitense CISA, che le chiama «php2shell», precisa che l'attaccante non ha bisogno di autenticarsi. Entrambe hanno un punteggio di 9,2 sulla versione 4 della scala di gravità CVSS, e il progetto PHP le classifica come critiche.

Il manuale di PHP spiega che il codice PHP viene eseguito sul server che ti invia la pagina, non sul tuo telefono o computer. Secondo l'avviso PHP sono coinvolte tutte le installazioni di PHP che rispondono a richieste web, e il rischio più alto riguarda Apache con mod_php, per cui esiste un exploit dimostrato.

Quali versioni di PHP correggono il problema?

Il progetto PHP ha rilasciato quattro versioni corrette il 21 ottobre 2026:

PHP 8.5.12
PHP 8.4.27
PHP 8.3.36
PHP 8.2.35

Le note di rilascio dicono: «There are no complete mitigations, updating is the only safe choice», cioè non esistono mitigazioni complete e aggiornare è l'unica scelta sicura. L'alert del CSIRT Italia elenca come vulnerabili le versioni 8.5.x, 8.4.x, 8.3.x e 8.2.x precedenti a queste.

PHP 8.1 e le versioni precedenti non ricevono più aggiornamenti dal progetto PHP. L'avviso indica che alcune distribuzioni e alcuni fornitori con supporto a lungo termine offrono correzioni retroportate, e suggerisce di contattare il proprio fornitore o di passare a una versione supportata. Data la gravità, il team di sicurezza di PHP ha pubblicato anche correzioni minime del codice sorgente per PHP 7.4, 8.0 e 8.1, utili a chi compila PHP da sé.

Chi è coinvolto tra le persone comuni?

La maggior parte delle persone non tocca mai PHP direttamente. Le situazioni in cui ti riguarda sono tre.

Hai o gestisci un sito. Un blog, un piccolo negozio online o il sito di un'associazione su WordPress o simili può funzionare con PHP. Il NCSC britannico scrive che le organizzazioni che usano qualsiasi versione di PHP sono coinvolte. Parti da come verificare la versione di PHP del tuo sito, poi come aggiornare PHP su WordPress. Se qualcosa sembra già strano, leggi sito hackerato, cosa fare.

Hai un NAS, un router o un altro dispositivo con una pagina di amministrazione web. La CISA ricorda che PHP può essere incluso in altri software senza che sia evidente. La guida su PHP2Shell nei NAS Synology e QNAP riassume cosa hanno detto i due produttori. Per il tuo computer, vedi PHP2Shell riguarda il mio Mac?

Visiti siti o fai acquisti online. Le vulnerabilità sono sui server, quindi correggerle spetta a chi gestisce il sito. Due domande frequenti: visitare un sito hackerato è pericoloso? e i miei dati personali sono a rischio?

Le vulnerabilità vengono già sfruttate?

Ecco cosa dicono le fonti ufficiali al 23 ottobre 2026:

Al 23 ottobre 2026, l'alert della CISA del 21 ottobre, rivisto il 23 ottobre, dice che l'agenzia non ha osservato sfruttamenti riusciti di queste vulnerabilità nel mondo reale al momento della pubblicazione.
Il CERT-EU, il servizio di cybersicurezza delle istituzioni europee, scrive che hanno iniziato a circolare le prime prove di concetto (proof of concept), e che questo aumenta la probabilità che gli attaccanti stiano già sfruttando le vulnerabilità.
Il CSIRT Italia segnala la disponibilità in rete di proof of concept per lo sfruttamento di entrambe le vulnerabilità. Nel registro delle modifiche dell'alert, alla data del 23 ottobre, ha annotato: «Rilevate evidenze di PoC funzionanti».
L'avviso di QNAP del 22 ottobre riporta che sono stati segnalati pubblicamente tentativi di sfruttamento contro PHP.

Una proof of concept è un esempio tecnico che mostra che l'attacco funziona. Un tentativo è qualcuno che invia l'attacco a un server per vedere se va a segno. Nessuna delle due cose ti dice che un certo sito sia stato violato, né che i tuoi dati siano stati sottratti.

Cosa devo fare adesso?

Dipende dal gruppo in cui rientri.

Se hai un sito:

Scopri quale versione di PHP usa. La guida per verificare la versione di PHP spiega dove guardare.
Passa a una delle versioni corrette, o chiedi al tuo hosting se l'ha già fatto. Il CSIRT Italia raccomanda di aggiornare seguendo i bollettini di sicurezza del produttore.
Se non puoi aggiornare subito, il CSIRT Italia raccomanda di valutare di mettere offline i siti e i servizi web che usano versioni vulnerabili, fino all'aggiornamento. Anche la CISA consiglia di metterli offline.
Il CSIRT Italia raccomanda inoltre, indipendentemente dall'aggiornamento, di analizzare i log alla ricerca di segnali di sfruttamento o di compromissione.

Se hai un NAS, un router o un dispositivo simile, consulta l'avviso di sicurezza del produttore per il tuo modello e installa gli aggiornamenti proposti.

Se sei un visitatore o un cliente, non devi installare nulla a causa di PHP2Shell. Valgono i consigli generali della Polizia Postale: attiva l'autenticazione a due fattori, soprattutto per e-mail e servizi con dati personali o finanziari, e prima di inserire dati controlla con attenzione l'indirizzo del sito.

Esiste una terza vulnerabilità PHP?

Ce n'è una collegata, molto più limitata. Il 23 ottobre il progetto PHP ha pubblicato un avviso informativo su CVE-2026-115560. Secondo l'avviso il problema si presenta solo con una combinazione insolita di configurazione e codice dell'applicazione, ed è improbabile nella pratica. In attesa del prossimo rilascio correttivo, suggerisce di impostare session.upload_progress.enabled=0. Il CSIRT Italia aggiunge che, se questa misura è già stata applicata, non servono altri interventi per questo specifico vettore.

Altre domande

PHP2Shell è un virus?

No. È il nome di due vulnerabilità di PHP, il software usato da molti server web. Una vulnerabilità è un punto debole che potrebbe essere usato per attaccare un server. La correzione è un aggiornamento di PHP, che installa il proprietario del server o il servizio di hosting, non qualcosa da cercare sul tuo dispositivo.

Devo aggiornare PHP sul mio computer?

Probabilmente no. PHP funziona sui server web, e l'avviso PHP parla di installazioni che rispondono a richieste web. Se hai installato PHP per sviluppare siti, aggiornalo. La guida su PHP2Shell e Mac approfondisce.

Cosa significa CVSS 9,2?

CVSS è un sistema di punteggio per la gravità delle vulnerabilità. Il progetto PHP assegna 9,2 a entrambe secondo la versione 4 del CVSS e le classifica come critiche. Anche il CSIRT Italia e il CERT-EU riportano un punteggio di 9,2.

Qualcuno è già stato colpito con PHP2Shell?

Al 23 ottobre 2026 nessuno degli avvisi ufficiali elencati qui sotto indica un numero di siti compromessi. L'alert della CISA del 21 ottobre, rivisto il 23 ottobre, dice che l'agenzia non ha osservato sfruttamenti riusciti di queste vulnerabilità nel mondo reale al momento della pubblicazione.