PHP2Shell: vulnerabilità critiche in PHP e cosa fare subito

Aggiornato 22 ottobre 2026 · GAITS Solutions

Cosa è successo

PHP ha corretto due falle gravi in componenti usati quasi a ogni richiesta: la gestione della memoria e il trattamento degli errori.

• CVE-2026-109618: se una richiesta raggiunge il limite di memoria di PHP nel momento esatto, possono restare dati interni inizializzati a metà che corrompono la memoria. Con Apache e mod_php si può provocare senza autenticazione, persino prima che venga eseguito il codice dell’applicazione.
• CVE-2026-109619: un errore fatale nel momento giusto può lasciare riferimenti alla memoria di una richiesta precedente, che un’altra richiesta può riutilizzare.

Entrambe hanno un punteggio di 9,2 su 10 (CVSS 4.0) e possono consentire l’esecuzione di codice da remoto: cioè che un attaccante prenda il controllo del server.

Versioni corrette

Le versioni che correggono entrambe le falle sono:

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

I rami non supportati (8.1 e precedenti) non ricevono versioni ufficiali. Se il tuo server ne usa uno, si consiglia di migrare al più presto a una versione supportata.

Mi riguarda?

Se il tuo sito, negozio online (WordPress, WooCommerce, PrestaShop…), ERP o applicazione funzionano con una versione di PHP precedente a quelle corrette, sì. Il rischio è maggiore sui server con Apache e mod_php, ma l’esecuzione di codice è stata confermata anche su PHP-FPM tramite il codice di alcune applicazioni. Diverse società di sicurezza segnalano tentativi di sfruttamento, quindi conviene agire subito.

Cosa fare oggi

1. Verifica la tua versione di PHP: nel pannello dell’hosting, nello strumento Salute del sito di WordPress o con php -v sul server.
2. Aggiorna alla versione corretta del tuo ramo (o a un ramo supportato) e riavvia il servizio web o PHP-FPM.
3. Se il sito è su hosting condiviso, chiedi al fornitore se ha già applicato l’aggiornamento e quando.
4. Controlla i registri degli ultimi giorni per errori di memoria o arresti insoliti dei processi.
5. Metti al sicuro i backup prima e dopo l’aggiornamento.

Disattivare l’opzione session.upload_progress.enabled riduce parte del rischio di una delle falle, ma non sostituisce l’aggiornamento: è l’unica soluzione completa.

Una lezione per tutte le aziende

Un server aggiornato non si mantiene da solo. Le vulnerabilità critiche compaiono senza preavviso e le patch vanno applicate in ore, non in settimane. Per questo la manutenzione informatica preventiva e il monitoraggio dei server sono la base della sicurezza informatica di ogni azienda. Leggi anche cosa succede con i NAS Synology e le VPN di SonicWall.