PHP2Shell: cosa sappiamo delle due falle critiche di PHP che hanno messo in allarme il web

PHP2Shell è il nome con cui ricercatori e testate di settore indicano due vulnerabilità critiche scoperte nel motore di PHP, il linguaggio di programmazione lato server su cui funzionano WordPress, WooCommerce, Joomla, Drupal, Magento e una grandissima parte dei siti web nel mondo. Le due falle sono registrate come CVE-2026-109618 e CVE-2026-109619, hanno entrambe un punteggio di gravità di 9.2 su 10 (scala CVSS v4.0) e sono state corrette dal PHP Security Team il 21 ottobre 2026. Una precisazione utile fin da subito: PHP2Shell riguarda i server che ospitano i siti, non i computer, i tablet o gli smartphone di chi naviga.

Articolo aggiornato al 23 ottobre 2026. La situazione è in evoluzione: per i dettagli tecnici fa sempre fede l'avviso ufficiale del progetto PHP.

Cos'è PHP2Shell

PHP2Shell è una coppia di vulnerabilità che permette a un attaccante di eseguire codice da remoto (in gergo RCE, Remote Code Execution) su un server web che usa PHP, senza bisogno di credenziali e senza alcuna interazione da parte dell'amministratore. Il nome non viene dal progetto PHP: è stato attribuito informalmente dai ricercatori e si è imposto rapidamente nei bollettini di sicurezza.

Le due falle hanno un'origine comune nella gestione della memoria del motore PHP:

• CVE-2026-109618: un errore di memoria esaurita (out-of-memory) può interrompere PHP mentre i dati di una richiesta sono configurati solo in parte; la fase di pulizia successiva li tratta poi come validi, aprendo la strada alla corruzione della memoria.
• CVE-2026-109619: un problema di tipo use-after-free, in cui uno stato interno legato a una richiesta sopravvive dopo che la memoria che lo conteneva è stata liberata. Secondo l'avviso ufficiale può portare sia alla lettura di dati in memoria sia all'esecuzione di codice.

Il punto chiave è che il difetto si trova nel motore di PHP, non in un'applicazione specifica. Come ha sintetizzato The Hacker News nella sua ricostruzione, un sito è esposto anche quando il suo codice è scritto in modo impeccabile.

Cosa è successo: la cronologia di PHP2Shell

La vicenda PHP2Shell si è svolta in pochi giorni, accelerata da una fuga di notizie che ha fatto saltare l'embargo concordato tra ricercatori e sviluppatori.

Secondo la ricostruzione di Punto Informatico, anche CERT-AGID ha rilanciato l'avviso nel pomeriggio del 21 ottobre, mentre in rete cominciavano a circolare diversi proof-of-concept che dichiaravano di sfruttare le falle.

PHP2Shell in cinque giorni: dal primo tentativo di sfruttamento alla correzione ufficiale.

Perché PHP2Shell è così grave

PHP2Shell combina tre caratteristiche che, insieme, spiegano l'allarme di questi giorni.

1. Non serve alcun accesso

L'attacco non richiede password né account. Secondo l'avviso ufficiale, su Apache con il modulo mod_php, la configurazione indicata come più a rischio, è stato dimostrato un exploit in cui una singola richiesta non autenticata fa scattare l'attacco prima ancora che il codice del sito venga eseguito.

2. Colpisce tutte le configurazioni web di PHP

Sono interessate tutte le installazioni PHP che rispondono a richieste web: PHP-FPM, Apache mod_php, php-cgi, FrankenPHP e LiteSpeed. Il primo percorso vulnerabile risale a PHP 5.4, quindi a oltre dieci anni fa. Alcune stime citate dalla stampa di settore parlano di circa il 70% dei siti e delle applicazioni web esposte a Internet basate su PHP: è un ordine di grandezza, non un dato misurato.

3. Le conseguenze di un attacco riuscito

Un attaccante che sfrutta PHP2Shell può eseguire codice con i permessi del processo PHP. In pratica può rubare dati dell'applicazione, modificare i contenuti del sito o installare una backdoor, come spiega Malwarebytes nella sua analisi in italiano. Può anche leggere dalla memoria del server informazioni sensibili appartenenti ad altre richieste, come password, token e chiavi di accesso.

Non a caso il ricercatore Kevin Beaumont, citato da Help Net Security, l'ha definita una delle vulnerabilità più gravi da anni.

Quali versioni di PHP sono colpite e quali la correggono

Le versioni di PHP che correggono PHP2Shell sono quattro, una per ciascun ramo ancora supportato. Tutte le versioni precedenti sono vulnerabili.

Un dettaglio che confonde molti amministratori: le distribuzioni Linux spesso applicano la correzione senza cambiare il numero di versione principale. Un server Ubuntu aggiornato può quindi continuare a mostrare, per esempio, "PHP 8.3.6": quello che cambia è la revisione del pacchetto. Per verificare bisogna consultare il bollettino del proprio fornitore.

Esistono anche misure temporanee, come disattivare l'impostazione session.upload_progress.enabled e riavviare i processi PHP, ma lo stesso progetto PHP chiarisce che riducono il rischio senza eliminarlo. Come riporta BleepingComputer, l'unica difesa definitiva è l'aggiornamento.

La correzione di PHP2Shell si applica sul server: va installata e seguita da un riavvio dei processi PHP.

Ho un sito WordPress o WooCommerce: cosa devo fare?

Aggiornare WordPress, il tema o i plugin non corregge PHP2Shell. È il punto su cui insistono tutti i bollettini: la vulnerabilità si trova "sotto" WordPress, nel motore PHP che lo fa funzionare. La correzione deve arrivare da chi gestisce il server.

In concreto, chi ha un sito su PHP dovrebbe:

1. Capire chi gestisce PHP. Se il sito è su un hosting condiviso, è quasi sempre il provider. Se c'è un'agenzia o un tecnico di fiducia, va chiarito chi ha accesso al server e chi può autorizzare un intervento urgente.
2. Controllare la versione di PHP. In WordPress si trova in Strumenti → Salute del sito → Info → Server. In alternativa, la mostra il pannello dell'hosting.
3. Chiedere conferma scritta al provider. Non basta sapere che l'aggiornamento è "previsto": bisogna sapere che è stato installato e che i processi PHP sono stati riavviati.
4. Se si usa una versione fuori supporto (PHP 8.1 o precedente), pianificare la migrazione a una versione supportata. Secondo i dati di monitoraggio citati dalla stampa, alla vigilia della patch circa un sito WordPress o Joomla su cinque girava ancora su PHP 8.1 o versioni più vecchie.
5. Gestire i propri server? Applicare subito l'aggiornamento, riavviare Apache, PHP-FPM e ogni processo PHP di lunga durata, e ricostruire le eventuali immagini dei container.

Diversi provider si sono mossi in modo proattivo, applicando le mitigazioni già la sera del 20 ottobre e gli aggiornamenti nei giorni successivi. Vale comunque la pena controllare la pagina di stato o di supporto del proprio hosting.

E chi naviga soltanto?

Per chi usa Internet senza gestire un sito, PHP2Shell non richiede di installare nulla: la vulnerabilità non riguarda Windows, macOS, Android, iOS né i browser. Gli effetti visibili possono essere due:

• siti temporaneamente offline o in manutenzione, come è successo a diversi portali pubblici europei il 21 ottobre, spenti per prudenza in attesa della correzione;
• un rischio indiretto: un sito compromesso e non ancora aggiornato potrebbe essere modificato per ospitare pagine fraudolente. In questi giorni è bene fare un po' più di attenzione a richieste insolite di dati, pagamenti o download, anche su siti che si conoscono bene.

Il ruolo dell'intelligenza artificiale

La storia di PHP2Shell ha anche un risvolto che farà discutere a lungo. Le falle sono state individuate da Wiz Research, Calif e dal team Codex Security di OpenAI, che hanno lavorato con il PHP Security Team e con il team Gemini di Google alla correzione.

Secondo la PHP Foundation, un primo indizio del problema di memoria alla base di CVE-2026-109618 era già emerso durante un audit esterno di PHP nel 2024, ma all'epoca non era stato trovato un modo concreto per arrivare all'esecuzione di codice. Analisi più recenti, condotte anche con strumenti di intelligenza artificiale, hanno trasformato quel punto debole teorico in un attacco funzionante.

È un segnale di come l'IA stia accorciando i tempi in entrambe le direzioni: aiuta a scoprire le falle prima, ma riduce anche il margine tra la divulgazione di una vulnerabilità e il suo sfruttamento. Per approfondire il quadro tecnico, in italiano, è utile l'analisi di Cybersecurity360; per una sintesi in inglese costantemente aggiornata c'è la voce di Wikipedia dedicata a PHP2Shell.

PHP2Shell è stata resa sfruttabile grazie ad analisi del codice condotte anche con l'intelligenza artificiale.

Domande frequenti su PHP2Shell