php2shell: metà di Internet è in pericolo – l'unica soluzione è aggiornare PHP
A causa di due falle critiche in PHP, gli hacker possono eseguire codice dannoso sui server web senza bisogno di una password. Si stima che circa il 70 percento di tutti i siti web sia interessato. Il codice exploit è già disponibile. Solo un aggiornamento di PHP può risolvere il problema.
Due gravi falle di sicurezza nel linguaggio di programmazione PHP stanno attualmente mettendo a rischio milioni di server web. Gli aggressori possono utilizzarle per eseguire codice dannoso senza bisogno di una password: un post anonimo sulla piattaforma Hacker News aveva già rivelato in anticipo le vulnerabilità e il primo codice exploit il 20 ottobre. Le patch sono state pubblicate il 21 ottobre alle 16:00 CEST. A causa della situazione critica, ad esempio i Paesi Bassi e gli sviluppatori di GrapheneOS hanno temporaneamente scollegato i propri sistemi dalla rete per precauzione. Un segno di quanto sia grave la situazione.
Cosa è successo esattamente
Il team di sicurezza di PHP ha rilasciato patch per due falle critiche che consentono agli aggressori di eseguire codice arbitrario su un server. Hanno i numeri CVE CVE-2026-109618 e CVE-2026-109619 e, richiamando la famigerata falla Log4Shell del 2021, vengono chiamate anche «php2shell». Entrambe sono state valutate con un punteggio CVSS di 9.2 su 10, la categoria più alta per le vulnerabilità critiche.
La prima falla (CVE-2026-109618) riguarda la gestione della memoria. Quando uno script PHP raggiunge il suo limite di memoria, l'esecuzione si interrompe e la memoria viene ripulita. Se un aggressore interferisce con questo processo di pulizia tramite richieste preparate, può manipolare la memoria in modo che PHP esegua il proprio codice dannoso. La seconda falla (CVE-2026-109619) sfrutta uno stato obsoleto nella gestione degli errori: i dati di una vecchia richiesta rimangono in memoria e vengono erroneamente trattati come attuali nella richiesta successiva. Anche questo consente l'iniezione di codice dannoso.
Perché colpisce così tante persone
PHP è la base su cui è costruita gran parte del web. Circa il 70 percento di tutti i siti web di cui è noto il linguaggio di programmazione lato server utilizza PHP. Sistemi di gestione dei contenuti come WordPress, Drupal, Joomla e Magento si basano su di esso. Tuttavia, aggiornare questi sistemi non è sufficiente per essere al sicuro. L'errore si trova più in profondità, nell'ambiente di runtime PHP stesso.
Le vulnerabilità non riguardano solo le versioni attuali di PHP. Si estendono attraverso il codice fino a PHP 5.4, rilasciato nel 2012. Molti server web funzionano ancora con versioni di PHP più vecchie e non più supportate, prive di regolari aggiornamenti di sicurezza.
Cosa devi fare ora
L'unica soluzione completa è l'aggiornamento a una delle versioni di PHP appena rilasciate: PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35. Queste patch devono essere installate manualmente sul server: gli aggiornamenti automatici qui non sono efficaci. Per le versioni più vecchie e non più supportate (PHP 7.4, 8.0, 8.1), il team PHP ha fornito dei backport minimi del codice sorgente.
Se non sei tu stesso responsabile del server, dovresti chiedere al tuo provider di hosting se gli aggiornamenti di sicurezza sono già stati installati. Per i sistemi che non possono essere aggiornati immediatamente, le autorità consigliano di scollegarli dalla rete. Cloudflare ha già implementato regole firewall che bloccano i modelli di attacco noti. Tali misure di protezione possono ridurre il rischio, ma non sostituiscono un aggiornamento di sicurezza.
Quanto è grave la situazione?
Gli avvertimenti arrivano dai massimi livelli. Ad esempio, l'Ufficio federale tedesco per la sicurezza informatica (BSI) ha emesso un avviso ufficiale. Anche il CERT-EU, l'NCSC britannico e l'autorità informatica australiana hanno pubblicato avvisi di emergenza.
Quanti server siano già stati attaccati con successo non è chiaro al momento. Al 21 ottobre 2026, ore 18:00 CEST, non ci sono dati affidabili su compromissioni confermate. Cloudflare segnala già tentativi di attacco e ha rafforzato le sue regole di protezione. Altri ricercatori di sicurezza, invece, non hanno ancora rilevato alcuno sfruttamento nelle loro reti monitorate. Il rischio è reale e aumenta ogni ora in cui i server rimangono senza patch.
La mia musa ispiratrice si trova ovunque. Quando non la trovo, mi lascio ispirare dai miei sogni. La vita può essere vissuta anche sognando a occhi aperti.
Dal nuovo iPhone al revival della moda anni '80. La redazione fa chiarezza.
Visualizza tutti
