Il tuo router o firewall di casa usa PHP? Cosa significa PHP2Shell

WindowsMacAggiornato

Netgate, che produce pfSense, e il team di OPNsense hanno pubblicato aggiornamenti di PHP per i loro firewall il 21 ottobre 2026, il giorno in cui il progetto PHP ha annunciato le vulnerabilità PHP2Shell. Se un normale router di casa sia coinvolto dipende dal fatto che il produttore ci abbia messo dentro PHP, e solo il produttore può dirtelo. Questa guida è aggiornata al 23 ottobre 2026.

Risposta breve

PHP2Shell riguarda le installazioni di PHP che rispondono a richieste web, e alcuni apparati di rete usano PHP per le pagine di amministrazione. pfSense e OPNsense hanno pubblicato correzioni. Per qualsiasi altro router, cerca un aggiornamento del firmware sul sito del produttore, tieni la pagina di amministrazione lontana da internet e installa gli aggiornamenti appena arrivano.

PHP2Shell riguarda il mio router?

Solo se il router usa PHP, e la maggior parte dei proprietari non ha modo di vederlo dall'esterno. L'avviso del progetto PHP dice che le due vulnerabilità, CVE-2026-109618 e CVE-2026-109619, mettono a rischio tutte le installazioni di PHP che rispondono a richieste web, e che possono permettere l'esecuzione di codice da remoto senza autenticazione. In pratica qualcuno potrebbe eseguire comandi propri sul dispositivo senza fare login.

L'agenzia statunitense CISA scrive che PHP è spesso un componente di altri software e che la sua presenza può non essere direttamente visibile. Il NCSC britannico scrive che PHP è usato anche in diversi altri prodotti. L'archivio di NCSC-NL, il centro olandese per la cybersicurezza, aggiunge che l'impatto non si limita ai siti web: PHP è incluso anche in apparecchi, dispositivi di rete e interfacce di gestione dove chi li amministra potrebbe non poterlo aggiornare direttamente. Un dispositivo, quindi, può contenere PHP senza che sia scritto sulla scatola.

In questa pagina non nominiamo marche di router per la casa, perché citiamo un produttore solo quando il suo avviso dice che i suoi prodotti sono coinvolti o corretti. I due che l'hanno detto sono qui sotto.

Cosa dice Netgate su pfSense?

Il post di Netgate del 21 ottobre 2026 (in inglese) dice che le due vulnerabilità riguardano le installazioni di pfSense. Aggiunge che sono un motivo di preoccupazione solo se la GUI PHP di pfSense, cioè la sua pagina di amministrazione web, o il servizio Captive Portal sono esposti a possibili attaccanti.

Netgate spiega che, per impostazione predefinita, la pagina di amministrazione è raggiungibile solo dalla rete locale, non da internet, e che Captive Portal non è attivo. Queste sono le versioni che indica come aggiornate:

  1. pfSense Plus 26.07 e 26.03.1, e pfSense CE 2.9.0, ora con PHP 8.5.12.
  2. pfSense CE 2.8.1, ora con PHP 8.3.36.

L'aggiornamento non si può fare dalla pagina di amministrazione web. Netgate dice che va eseguito da riga di comando, via SSH o dalla console, e il suo post riporta i comandi esatti. Chi ha esposto la pagina di amministrazione su internet dovrebbe aggiornare subito, cambiare le regole e da quel momento raggiungere la pagina solo in modo sicuro, per esempio con una VPN. Chi usa Captive Portal dovrebbe aggiornare il prima possibile. Tutti gli altri, dice Netgate, dovrebbero comunque aggiornare quando possono.

Cosa dice OPNsense?

L'annuncio di OPNsense del 21 ottobre 2026 (in inglese) elenca correzioni con PHP aggiornato: Community Edition 26.7.7 con PHP 8.5.12, Community Edition 26.1.11 con PHP 8.3.36 e Business Edition 26.4.2p4 con PHP 8.3.36. Le note di rilascio della serie 26.7 di OPNsense elencano sotto la 26.7.7 la correzione straordinaria per CVE-2026-109618 e CVE-2026-109619, con PHP 8.5.12.

L'annuncio di OPNsense raccomanda con forza di installare l'aggiornamento il prima possibile. Se usi il captive portal, dice di riavviare il servizio dopo l'installazione, perché le correzioni abbiano effetto.

Cosa dicono CISA, NCSC e CSIRT Italia sui dispositivi che includono PHP?

I loro avvisi sono scritti per le organizzazioni, e guardano oltre i server che la gente installa da sé. Il NCSC chiede di seguire gli aggiornamenti di sicurezza dei fornitori terzi, anche per apparecchi e servizi che possono includere PHP. La CISA chiede di trovare e censire tutti i sistemi con qualsiasi versione di PHP, aggiornare partendo da quelli esposti su internet e mettere offline quelli che non si possono aggiornare subito o che usano ancora PHP 8.1 o versioni precedenti. L'alert del CSIRT Italia, il team dell'Agenzia per la cybersicurezza nazionale (ACN), raccomanda di aggiornare i prodotti vulnerabili seguendo i bollettini del produttore.

Per una rete di casa, la versione pratica di tutto questo è la pagina di assistenza del produttore del router. Sullo sfruttamento, al 23 ottobre 2026: l'alert della CISA del 21 ottobre, rivisto il 23 ottobre, dice che l'agenzia non ha osservato sfruttamenti riusciti di queste vulnerabilità nel mondo reale al momento della pubblicazione, il CSIRT Italia segnala che in rete sono disponibili proof of concept per entrambe le vulnerabilità, e l'avviso di QNAP riporta che sono stati segnalati pubblicamente tentativi di sfruttamento contro PHP.

Cosa devo fare con il mio router di casa?

Trattalo come qualsiasi dispositivo di cui non puoi ispezionare il software. Nell'agosto 2025 l'ACN ha pubblicato 12 buone pratiche per la rete di casa, e quelle che contano qui sono nei passi sotto. La CISA ricorda che ogni router è diverso, quindi i menu esatti sono nel manuale del tuo.

  1. Trova marca e modello del router e apri la pagina di assistenza del produttore per quel modello.
  2. Cerca un avviso di sicurezza o un aggiornamento del firmware. L'ACN consiglia di aggiornare regolarmente il firmware dei dispositivi, attivando gli aggiornamenti automatici quando ci sono.
  3. Installa ogni aggiornamento del firmware che il produttore propone.
  4. Limita l'accesso remoto. L'ACN consiglia di disattivare il controllo da remoto se non è strettamente necessario. La CISA spiega che questa impostazione permette di entrare nel router via internet per cambiarne la configurazione, e che senza di essa qualcuno deve prima essere sulla tua rete.
  5. Disattiva l'UPnP, come raccomanda l'ACN. La guida disattivare UPnP e port forwarding spiega perché.
  6. Cambia le credenziali predefinite, come chiede l'ACN, con una password forte e diversa per ogni dispositivo, di almeno 12 caratteri. La CISA aggiunge che i dati di accesso predefiniti possono essere pubblici.

Se a casa hai anche un NAS, Synology e QNAP hanno i loro avvisi. La guida sui NAS e PHP2Shell riassume cosa dice ciascuno.

Altre domande

Esiste un elenco dei prodotti coinvolti da PHP2Shell?

Il NCSC rimanda a un elenco di prodotti software con una dipendenza da PHP che potrebbero essere coinvolti, tenuto su GitHub da NCSC-NL. L'elenco dice che viene aggiornato man mano che la situazione evolve, quindi è un punto di partenza. Per il tuo modello, l'avviso da seguire è quello del produttore del router.

Posso aggiornare io PHP sul mio router?

Sulla maggior parte dei router di casa, no. Se il router ha PHP, lo ricevi dentro il firmware del produttore, quindi la correzione arriva come aggiornamento del firmware. pfSense e OPNsense sono diversi: chi li usa installa da sé il PHP aggiornato, seguendo l'avviso di ciascun progetto.

La pagina di amministrazione del mio router si raggiunge solo da casa. Sono al sicuro?

Netgate dice che chi usa pfSense con la pagina di amministrazione lontana da reti non fidate e senza Captive Portal non è coinvolto, ma dovrebbe comunque aggiornare. QNAP avverte che limitare l'accesso alla rete locale non protegge da dispositivi della rete già compromessi. La correzione resta l'aggiornamento.

C'è una soluzione temporanea se non esiste ancora un aggiornamento?

Il progetto PHP dice che solo un aggiornamento è una soluzione completa, e che le sue impostazioni temporanee riducono l'esposizione senza rendere sicura un'installazione. Quelle impostazioni sono per chi gestisce PHP da sé. Per un router, quello che puoi controllare tu è tenere la pagina di amministrazione lontana da internet e installare l'aggiornamento del produttore.

Che cos'è PHP2Shell?

È il nome di due vulnerabilità critiche di PHP, CVE-2026-109618 e CVE-2026-109619, entrambe con punteggio 9,2 secondo la versione 4 del CVSS, annunciate il 21 ottobre 2026. La guida alla vulnerabilità PHP elenca le versioni corrette.

Fonti