PHP2Shell riguarda il mio telefono? Cosa significa la vulnerabilità PHP per iPhone e Android

iPhoneAndroidAggiornato

L'avviso del progetto PHP del 21 ottobre 2026 dice che sono a rischio tutte le installazioni di PHP che rispondono a richieste web, cioè software dei server. Non parla di telefoni, tablet o browser. Navigare su un sito con il tuo iPhone o Android non fa girare il PHP di quel sito sul telefono, anche se un sito hackerato può comunque creare problemi in altri modi.

Risposta breve

PHP2Shell è il nome di due falle critiche di PHP, CVE-2026-109618 e CVE-2026-109619. L'avviso PHP dice che mettono a rischio le installazioni di PHP che rispondono a richieste web, e il manuale di PHP spiega che il codice PHP viene eseguito nel server. Il telefono riceve la pagina già pronta. Tieni comunque aggiornati iOS o Android, e fai attenzione a download e accessi su siti che non conosci.

Cosa dice l'avviso PHP su cosa è colpito?

I server che usano PHP per rispondere alle richieste web. L'avviso dice che PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35 correggono due vulnerabilità critiche che possono permettere l'esecuzione di codice da remoto senza autenticazione. Tra i sistemi a rischio elenca tutte le installazioni di PHP che rispondono a richieste web, tra cui PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed, e considera più alto il rischio per mod_php.

Sono modi di far funzionare PHP dietro un sito. Il CSIRT Italia, il team dell'Agenzia per la cybersicurezza nazionale, rivolge le sue raccomandazioni a chi gestisce i sistemi: aggiornare i prodotti vulnerabili e cercare nei log segnali di sfruttamento. La guida alla vulnerabilità PHP spiega le falle, e anche il problema ulteriore e molto meno probabile che il progetto PHP ha pubblicato il 23 ottobre.

Perché navigare dal telefono non esegue il PHP?

Per dove PHP fa il suo lavoro. Il manuale di PHP spiega che, a differenza di JavaScript lato client, il codice viene eseguito nel server, generando HTML che sarà poi inviato al client, e che il client riceve i risultati senza poter conoscere il codice eseguito.

Il browser del tuo telefono è il client di quella frase. Riceve l'HTML, non il PHP che l'ha prodotto, quindi correggere PHP2Shell spetta al gestore del sito.

L'avviso non parla di iOS né di Android, e questa guida non dice nulla su quale software ci sia dentro l'uno o l'altro. Quello che le fonti sostengono è più limitato: l'avviso riguarda PHP che risponde a richieste web, e un telefono che legge una pagina è dalla parte di chi la riceve.

Un sito hackerato può comunque creare problemi sul telefono?

Sì, in un altro modo, e un dettaglio conta proprio per i telefoni. Le norme di Google per i proprietari dei siti dicono che gli hacker potrebbero inserire codice dannoso che reindirizza alcuni utenti a pagine dannose o di spam, e che talvolta il tipo di reindirizzamento dipende dal referrer, dallo user agent o dal dispositivo. Quindi un sito hackerato potrebbe comportarsi in modo diverso sul telefono rispetto a un computer.

La guida visitare un sito hackerato è pericoloso? spiega cosa può fare un sito hackerato, gli avvisi del browser e cosa fare se hai già scritto una password dove non dovevi. Per gli account dei servizi che usi, vedi i miei dati personali sono a rischio?

Come aggiorno l'iPhone?

Apple dice che, per garantire la sicurezza del tuo prodotto Apple, è opportuno mantenerlo sempre aggiornato. Non è una correzione per PHP2Shell, solo una buona abitudine che consiglia anche la Polizia Postale.

  1. Fai il backup dell'iPhone con iCloud o con il computer.
  2. Collegalo all'alimentazione e connettiti a internet tramite Wi-Fi.
  3. Vai in Impostazioni > Generali > Aggiornamento software.
  4. Se è disponibile un aggiornamento, tocca Scarica e installa e segui le istruzioni sullo schermo.

Per far installare gli aggiornamenti da soli, vai in Impostazioni > Generali > Aggiornamento software > Aggiornamenti automatici e attiva Installa automaticamente. Apple spiega che l'iPhone scarica e installa l'aggiornamento durante la notte mentre è in carica e connesso alla rete Wi-Fi, e che ricevi una notifica prima.

Come aggiorno un telefono Android?

Per vedere la versione, apri l'app Impostazioni, tocca Informazioni sullo smartphone, poi Versione di Android: trovi la versione di Android, l'aggiornamento della sicurezza Android, l'aggiornamento di sistema Google Play e il numero build.

  1. Collegati alla rete Wi-Fi e carica il telefono almeno al 75%. Google avverte che gli aggiornamenti possono essere grandi e richiedere un po' di tempo.
  2. Apri Impostazioni > Sistema > Aggiornamenti software.
  3. Controlla lo stato dell'aggiornamento e segui le istruzioni sullo schermo.

Google dice che le pianificazioni degli aggiornamenti variano in base al dispositivo, al produttore e all'operatore, quindi il menu può essere diverso su un telefono che non è un Pixel.

Da dove conviene scaricare le app?

Dagli store ufficiali, tenendo aggiornate anche le app. La Polizia Postale consiglia di aggiornare appena possibile il sistema operativo e le applicazioni che usi, perché un dispositivo non aggiornato può avere vulnerabilità sfruttabili da malintenzionati.

Su iPhone le app arrivano dall'App Store, e Apple dice che il 100% delle app è controllato in automatico contro i malware conosciuti. Su Android, Google Play Protect controlla la presenza di comportamenti dannosi nelle app e sul dispositivo, ed esegue un controllo di sicurezza sulle app del Play Store prima del download. Per verificare che sia attivo, apri il Play Store, tocca l'icona del profilo, poi Play Protect > Impostazioni, e controlla che «Analizza le app con Play Protect» sia attivo.

Il ruolo di Failshot

Le versioni di Failshot per iPhone e Android sono in arrivo. Sul Mac, Failshot è per il momento in cui qualcuno si siede al tuo Mac e lo sblocca. La password è il primo livello, e Failshot è il secondo livello di sicurezza, il livello che viene dopo. Quando è attivo, fotografa chi sblocca il Mac, poi, con Pro, registra un video di 5 secondi, e la sua finestra avvisa quella persona che lo sblocco è stato fotografato. Per disattivarlo, o per chiuderlo dal suo menu, servono Touch ID oppure il PIN di Failshot e la tua risposta, mai la password del Mac.

L'app per Mac si scarica gratis da failshot.app, con macOS 14 o versioni successive. Gratis da usare. Pro aggiunge il video, gli avvisi via email e la cassaforte crittografata. Prova Failshot Pro gratis per 7 giorni su failshot.app. La carta viene registrata al momento dell'iscrizione e addebitata l'ottavo giorno, a meno che tu non disdica. L'app è in inglese, e anche la versione per Windows è in arrivo.

Altre domande

Esiste un aggiornamento PHP2Shell per iPhone o Android?

L'avviso PHP non ne parla. Al 23 ottobre 2026 la sua correzione sono le nuove versioni di PHP: 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Non nomina software per telefoni. Installa gli aggiornamenti di Apple e Google quando arrivano, qualunque cosa correggano.

Il mio telefono è vecchio e non riceve più aggiornamenti. Devo preoccuparmi per PHP2Shell?

PHP2Shell riguarda i server, quindi il motivo non è questo. Resta il punto generale: Google avverte che i dispositivi meno recenti non sono sempre compatibili con le ultime versioni di Android, e che per avere l'ultimo aggiornamento di sicurezza serve l'ultima versione di Android disponibile per il dispositivo. Il NCSC britannico dice che un telefono che non riceve più aggiornamenti di sicurezza è meno sicuro.

PHP2Shell riguarda il mio Mac o il mio portatile?

Dipende da se PHP è installato, una domanda diversa da quella sul telefono. La guida PHP2Shell riguarda il mio Mac? mostra come verificarlo in Terminale e come aggiornare.

Devo smettere di usare i siti finché non è risolto?

Né l'avviso PHP né l'alert del CSIRT Italia chiedono al pubblico di smettere di usare i siti. I loro consigli sono per chi gestisce PHP: aggiornare. Come visitatore valgono le solite attenzioni, soprattutto con download e pagine di accesso.

Fonti