Cos'è la remote code execution? L'esecuzione di codice da remoto (RCE) spiegata

WindowsMacAggiornato 2026-10-24

Remote code execution, abbreviata in RCE, è il termine che gli avvisi di sicurezza usano quando una falla potrebbe permettere a un attaccante di eseguire il proprio codice su un sistema che raggiunge via rete. Il glossario del CSIRT Italia, il team dell'Agenzia per la cybersicurezza nazionale, la definisce come una «Vulnerabilità che permette a un attaccante di eseguire, da remoto, codice e comandi arbitrari su una macchina». Questa guida è aggiornata al 23 ottobre 2026.

Risposta breve

Remote code execution (RCE), in italiano esecuzione di codice da remoto, vuol dire che una falla di sicurezza potrebbe permettere a qualcuno di eseguire codice o comandi su un computer da un altro punto della rete. Il CSIRT Italia ha scritto che le falle PHP2Shell, se sfruttate, potrebbero permettere a un utente malintenzionato remoto di eseguire codice arbitrario. Correggerla spetta a chi gestisce il server, aggiornando il software.

Cosa significa remote code execution?

La formulazione più chiara viene dagli avvisi stessi. L'alert del CSIRT Italia del 21 ottobre 2026 classifica le due falle PHP come di tipo «Remote Code Execution», e scrive che un attaccante remoto non autenticato, con richieste opportunamente predisposte, potrebbe eseguire codice arbitrario con i privilegi del processo worker PHP sui sistemi colpiti. L'avviso del progetto PHP parla di due vulnerabilità critiche che possono permettere l'esecuzione di codice da remoto senza autenticazione.

Le parole che contano di più sono «remoto» e «non autenticato». FIRST, l'organizzazione che pubblica il sistema di punteggio CVSS, scrive che una falla attaccabile attraverso la rete è spesso detta «sfruttabile da remoto», e che i possibili attaccanti possono arrivare fino all'intera Internet. Nello stesso documento, un attaccante che non ha bisogno di account o login è descritto come non autenticato prima dell'attacco.

Quindi RCE descrive cosa una falla potrebbe permettere, non qualcosa che è già successo.

Perché la RCE è considerata così grave?

Per quello che l'attaccante potrebbe fare una volta eseguito il suo codice. Il CVSS, il sistema di punteggio spiegato nella guida su CVE e punteggi CVSS, lo registra come impatto. I punteggi del progetto PHP per entrambe le falle PHP2Shell segnano un impatto alto su riservatezza, integrità e disponibilità. Le specifiche di FIRST descrivono un impatto alto sull'integrità con l'esempio di un attaccante in grado di modificare tutti i file protetti dal sistema vulnerabile. Per un impatto alto sulla riservatezza, l'esempio è un attaccante che ruba la password dell'amministratore o le chiavi di cifratura private di un server web.

Gli stessi punteggi registrano anche cosa rende l'attacco più difficile. Entrambe le falle hanno complessità d'attacco alta e requisiti d'attacco presenti. FIRST definisce la prima come un attacco che deve aggirare misure di sicurezza già presenti. La seconda vuol dire che l'attacco dipende da condizioni particolari di configurazione e funzionamento del sistema, e FIRST osserva che un attacco del genere potrebbe dover essere lanciato più volte contro lo stesso obiettivo prima di riuscire.

Tenuto conto di tutto, il punteggio del progetto PHP per entrambe le falle è 9.2 su 10, nella fascia critica. Il CSIRT Italia riporta lo stesso score CVSS v4.0, 9,2.

Cosa significa la RCE se ho un sito web?

Che aggiornare è urgente se il tuo sito usa una versione di PHP colpita. L'avviso PHP considera più alto il rischio per Apache con mod_php, con un exploit dimostrato in cui una richiesta non autenticata può avviare l'attacco prima che venga eseguito qualsiasi codice dell'applicazione. In pratica, con mod_php l'attacco può funzionare prima che WordPress o qualsiasi altro software del sito sia partito. Le versioni corrette e cosa fare sono nella guida alla vulnerabilità PHP.

Parti da come verificare la versione di PHP del tuo sito. Se è l'hosting a gestire PHP, l'hosting dice che PHP è aggiornato spiega cosa resta da fare a te.

Cosa significa la RCE se visito solo i siti?

Una falla RCE in PHP è una falla sul server. L'avviso PHP elenca come a rischio le installazioni di PHP che rispondono a richieste web, come PHP-FPM e Apache con mod_php, e non parla di browser né dei dispositivi di chi visita. Il manuale di PHP spiega che il codice PHP viene eseguito nel server, che genera l'HTML inviato al client. Due domande collegate hanno le loro guide: visitare un sito hackerato è pericoloso? e i miei dati personali sono a rischio?

Come porta PHP2Shell all'esecuzione di codice da remoto?

L'avviso PHP chiama le due falle con il percorso che porta alla RCE. La prima è «RCE via OOM corruption» (CVE-2026-109618): la gestione dell'esaurimento della memoria può interrompere PHP mentre i dati interni della richiesta sono inizializzati solo in parte. La seconda è «RCE via stale global state» (CVE-2026-109619): uno stato interno legato alla richiesta può sopravvivere dopo che la sua memoria è stata liberata. Il CSIRT Italia descrive entrambe come di tipo «Use After Free». I record CVE ufficiali aggiungono che PHP può poi leggere memoria della richiesta non inizializzata, nel primo caso, o già liberata, nel secondo, o basarci le sue decisioni.

Altre domande

Cosa vuol dire RCE?

Remote code execution, esecuzione di codice da remoto. Il progetto PHP usa la sigla nei nomi di entrambe le falle PHP2Shell, e i record CVE ufficiali dicono che possono portare all'esecuzione di codice da remoto (RCE).

Remote code execution vuol dire essere stati hackerati?

No. La RCE descrive cosa una falla potrebbe permettere. Essere hackerati vuol dire che qualcuno ha davvero usato una falla contro un sistema. Al 23 ottobre 2026: l'alert della CISA del 21 ottobre, rivisto il 23 ottobre, dice che l'agenzia non ha osservato sfruttamenti riusciti di queste vulnerabilità nel mondo reale al momento della pubblicazione. Il CSIRT Italia scrive: «Si evidenzia, inoltre, la disponibilità in rete di Proof of Concept (PoC) per lo sfruttamento di entrambe le vulnerabilità.» Se gestisci un sito e qualcosa non torna, leggi sito hackerato, cosa fare.

Cosa vuol dire «non autenticato» in un avviso?

Che l'attaccante non ha bisogno di aver fatto l'accesso, né di avere un account o una password sul sistema. Le specifiche CVSS di FIRST dicono che un attaccante così non ha bisogno di alcun accesso a impostazioni o file prima dell'attacco.

Ogni falla RCE è critica?

No. Il punteggio dipende da quanto è facile l'attacco e da cosa richiede, oltre che dall'impatto, e chi assegna i punteggi può non essere d'accordo: il National Vulnerability Database statunitense ha classificato CVE-2026-109619 come alta, non critica. La guida su CVE e punteggi CVSS confronta i punteggi.

La RCE è un tipo di vulnerabilità?

Sì. Il glossario del CSIRT Italia definisce la remote code execution proprio come una vulnerabilità. La guida su cos'è una vulnerabilità informatica spiega il termine più ampio.