PHP2Shell riguarda il mio Mac? Come verificare se PHP è installato

MacAggiornato

PHP2Shell riguarda il tuo Mac solo se PHP è installato, e il manuale di PHP dice che PHP non è più incluso in macOS da macOS 12 Monterey. Sulla maggior parte dei Mac recenti c'è solo se l'hai aggiunto tu, o uno strumento che hai installato. Puoi controllarlo con Terminale in meno di un minuto. Questa guida è aggiornata al 23 ottobre 2026.

Risposta breve

L'avviso del progetto PHP del 21 ottobre 2026 riguarda due vulnerabilità critiche, CVE-2026-109618 e CVE-2026-109619, nelle installazioni di PHP che rispondono a richieste web. Il manuale di PHP dice che macOS non include PHP da macOS 12 Monterey. Apri Terminale e scrivi php -v. Se compare una versione, aggiornala a una versione corretta, con lo stesso metodo con cui l'hai installata.

macOS include PHP?

Non le versioni recenti, secondo il manuale di PHP (in inglese). Spiega che PHP era incluso in macOS nelle versioni 10 e 11, ma non lo è più da macOS 12 Monterey, e che sulle versioni recenti per installarlo servono pacchetti di terze parti oppure la compilazione dal codice sorgente.

Le note di rilascio di Apple che abbiamo consultato non parlano di PHP. Quelle di macOS Catalina 10.15 citano Python, Ruby e Perl come esempi di linguaggi di scripting inclusi per compatibilità con software datato, e dicono che le versioni future non li avrebbero più inclusi di serie. La fonte qui è quindi il manuale di PHP, e la verifica sul tuo Mac chiude la questione.

Come verifico se PHP è installato sul mio Mac?

Usa Terminale. Il manuale di PHP mostra che l'opzione -v restituisce il nome della SAPI e la versione di PHP, e che da una shell php -v dice anche se PHP è in versione CLI o CGI. Se compare un numero di versione, PHP è installato.

  1. Nel Finder apri la cartella Applicazioni, poi Utility, e fai doppio clic su Terminale. Apple descrive questo percorso nella sua guida a Terminale.
  2. Scrivi php -v e premi Invio.
  3. Leggi la prima riga. Inizia con «PHP» seguito da un numero di versione.
  4. Confrontalo con l'elenco delle versioni corrette nella guida per verificare la versione di PHP. Ogni versione precedente dello stesso ramo va aggiornata. PHP 8.1 e precedenti non ricevono più aggiornamenti dal progetto PHP.

Chi può avere PHP sul Mac?

Soprattutto chi crea o prova siti web. Le pagine del manuale di PHP su macOS descrivono due strade: pacchetti di terze parti o la compilazione dal codice sorgente. Indicano Homebrew come un modo semplice (brew install php), e MacPorts e Fink come alternative.

Potresti avere PHP anche se:

  • crei o provi siti in PHP sul Mac e l'hai installato per questo
  • hai installato uno strumento di server locale che include un suo PHP. Il NCSC britannico chiede alle organizzazioni di seguire gli aggiornamenti dei fornitori che includono PHP nei loro prodotti, e lo stesso vale per un'app sul tuo Mac
  • hai usato il server web integrato di PHP (php -S). Il manuale di PHP dice che non deve essere usato su una rete pubblica

Il PHP del mio Mac è davvero a rischio?

Dipende da come lo usi. L'avviso PHP indica come a rischio tutte le installazioni che rispondono a richieste web, tra cui PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed. Considera più a rischio mod_php, per cui esiste un exploit dimostrato che una richiesta senza autenticazione può avviare prima che giri qualunque codice dell'applicazione.

L'avviso non dice nulla di PHP usato solo da riga di comando, quindi non possiamo dirti che quell'uso sia sicuro. Il NCSC britannico scrive che le organizzazioni che usano qualsiasi versione di PHP sono coinvolte, e le invita con forza ad aggiornare all'ultima versione corretta. Anche su un Mac, la risposta semplice è aggiornare.

Sullo sfruttamento, al 23 ottobre 2026: l'alert dell'agenzia statunitense CISA del 21 ottobre, rivisto il 23 ottobre, dice che l'agenzia non ha osservato sfruttamenti riusciti di queste vulnerabilità nel mondo reale al momento della pubblicazione, e il CSIRT Italia segnala che in rete sono disponibili proof of concept.

Come aggiorno PHP su un Mac?

Aggiornalo nello stesso modo in cui l'hai installato. L'avviso PHP chiede di passare a una versione corretta e indica che il codice sorgente è nella pagina dei download di php.net. Se l'hai installato con un gestore di pacchetti, aggiornalo con quel gestore. Se è arrivato dentro un'app di server locale, aggiorna l'app, o cerca sul sito del suo produttore una versione con il PHP corretto.

Cambiare le impostazioni non basta: l'avviso dice che le misure che elenca riducono l'esposizione ad alcuni percorsi di attacco, ma non rendono sicura un'installazione.

Con PHP 8.1 o precedente, l'avviso suggerisce di passare a una versione supportata. Il team di sicurezza di PHP ha pubblicato correzioni minime del codice sorgente per 7.4, 8.0 e 8.1, pensate per chi compila PHP da sé.

Dopo l'aggiornamento esegui di nuovo php -v e controlla che il numero di versione sia cambiato.

No. Il manuale di PHP spiega che il codice PHP viene eseguito sul server, che invia poi il risultato al browser. Il browser riceve il risultato e non vede mai il codice PHP. Leggere un sito fatto con PHP non fa girare PHP sul tuo Mac.

Un sito hackerato può comunque essere un rischio per chi lo visita in altri modi, per esempio con pagine di accesso false o download dannosi. Ne parla la guida visitare un sito hackerato è pericoloso?

Il ruolo di Failshot

Failshot è un secondo livello di sicurezza per il tuo Mac. La password è il primo livello, e Failshot è il livello che viene dopo, per quando qualcuno sblocca il Mac con quella password mentre non ci sei.

Quando Failshot è attivo, fotografa chi sblocca il Mac, poi, con Pro, registra un video di 5 secondi, e la sua finestra avvisa quella persona che lo sblocco è stato fotografato. Con Pro, attiva gli avvisi e Failshot ti manda un'e-mail per uno sblocco che non confermi come tuo, per un PIN di Failshot o una risposta sbagliati, o se il suo accesso alla fotocamera viene disattivato mentre è attivo. Per disattivarlo, o per chiuderlo dal suo menu, servono Touch ID oppure il PIN di Failshot e la tua risposta, mai la password del Mac.

Failshot si scarica gratis da failshot.app per Mac, con macOS 14 o versioni successive. Gratis da usare. Pro aggiunge il video, gli avvisi via email e la cassaforte crittografata. Prova Failshot Pro per Mac gratis per 7 giorni su failshot.app. La carta viene registrata al momento dell'iscrizione e addebitata l'ottavo giorno, a meno che tu non disdica. L'app è in inglese, e le versioni per iPhone, Android e Windows sono in arrivo.

Altre domande

Un aggiornamento di macOS aggiorna PHP?

Il manuale di PHP dice che macOS non include PHP da macOS 12 Monterey, quindi su queste versioni il PHP presente è stato installato a parte e va aggiornato nello stesso modo. Tieni comunque aggiornato macOS, ma non aspettarti che aggiorni il PHP di un gestore di pacchetti o di un'app di server locale.

Il mio Mac ha macOS Big Sur o una versione precedente. Ha PHP?

Può darsi. Il manuale di PHP dice che PHP era incluso in macOS nelle versioni 10 e 11. Esegui php -v in Terminale e confronta la versione con l'elenco delle versioni corrette.

C'è stato un altro problema di PHP dopo il 21 ottobre?

Sì, uno distinto e molto meno probabile, CVE-2026-115560, pubblicato dal progetto PHP il 23 ottobre. Ne parla la guida alla vulnerabilità PHP.

Fonti