PHP2Shell è il nome dato a due falle gravissime di PHP (CVE-2026-109618 e CVE-2026-109619) che permettono a chiunque, senza password e senza che tu clicchi su niente, di far eseguire comandi al server dove gira il tuo sito. PHP ha pubblicato le correzioni il 21 ottobre 2026. Se il tuo sito usa PHP, WordPress compreso, se nessuno ha aggiornato, il momento giusto era stamattina. Il secondo momento giusto è adesso.
Qui trovi cosa è successo, come capire in cinque minuti se ti riguarda, cosa fare oggi e come accorgerti se qualcuno è già entrato. Senza panico: il panico non aggiorna i server. Ma nemmeno il "tanto a me non succede".
Questa guida è semplificata al massimo, tuttavia se hai affidato la gestione del tuo sito internet a qualcuno o ti sembra troppo complicato intervenire, c'è una buona notizia in fondo all'articolo. Tradotto: se non sai cosa accidenti sia il PHP, salta lo spiegone e scrivici direttamente. Hai appena vinto una consulenza gratuita!
Cos'è PHP2Shell, senza il gergo da convegno
PHP è il linguaggio su cui girano WordPress e una montagna di siti costruiti negli ultimi vent'anni. Le due falle sono errori nella gestione della memoria: sessioni, cache delle classi (OPcache) e il momento in cui PHP scrive i dettagli di un errore fatale. Sfruttandole, un attaccante può arrivare a eseguire codice sul server. In gergo si chiama "esecuzione di codice da remoto" e in italiano corrente "si è preso il sito".
PHP le ha valutate 9,2 su 10 nella scala CVSS. La società di sicurezza watchTowr, nelle sue domande e risposte, le ha giudicate ancora peggio. Secondo la dichiarazione del team PHP sono colpite tutte le installazioni che servono richieste web: PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed.
Perché non è la solita falla "da addetti ai lavori"
- I dettagli sono trapelati prima della correzione. Su SecurityWeek si parla di sfruttamento di massa in arrivo. Cloudflare ha segnalato segnali di attacchi già prima del rilascio delle patch.
- Esiste un exploit pubblico. Quando c'è il tutorial, non serve più essere bravi: basta essere in tanti. E in rete i bot scansionano tutto, anche il sito della pasticceria che non aggiorni dal 2019.
- Le correzioni coprono solo i rami recenti: PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Se il tuo hosting è fermo a una versione più vecchia, la patch per te non esiste: l'unica strada è cambiare versione. BleepingComputer riassume il quadro.
Ti riguarda? Tre domande, cinque minuti
- Il tuo sito è fatto con WordPress, o comunque con PHP? Se non lo sai, guarda nel pannello del tuo hosting: se c'è scritto PHP e un numero di versione, lo è. Se il sito lo ha fatto "un ragazzo bravo" tre anni fa e nessuno ti ha mai detto con cosa, è quasi certamente WordPress.
- Che versione di PHP usa? Sempre dal pannello dell'hosting, di solito sotto "PHP" o "Versione PHP". Se è più vecchia della 8.2, o se è una 8.x ma non una di quelle patchate, hai un problema.
- Hai un vecchio sito che "non usi più"? Quello che hai spostato altrove e lasciato lì "per sicurezza"? Ecco, è proprio lì che i bot fanno la spesa.
Se la risposta alla prima domanda è no, per questa storia sei a posto.
Cosa fare oggi
- Aggiorna PHP a una versione corretta (8.2.35, 8.3.36, 8.4.27 o 8.5.12) dal pannello dell'hosting o chiedendolo al fornitore. Molti hosting lo fanno con un clic. Altri ti rispondono "stiamo valutando": in quel caso la valutazione la fai tu. Conviene cambiare hosting.
- Prima fai una copia di sicurezza. Plugin e temi vecchi a volte si rompono con le versioni nuove di PHP. È un buon motivo per provare su una copia, non per restare fermi.
- Aggiorna anche WordPress, plugin e temi. Non è la stessa falla, ma sono la porta di servizio numero uno. A luglio, per dire, si è parlato di wp2shell, un'altra coppia di falle critiche di WordPress già sfruttate per installare webshell (le versioni corrette sono la 7.0.2, la 6.9.5 e la 6.8.6).
- Il sito vecchio che non usi più: fai un backup e spegnilo. Un sito che nessuno guarda e nessuno aggiorna è una finestra aperta con il cartello "tornate pure".
Come capire se qualcuno è già entrato
Aggiornare chiude la porta, ma non ti dice se qualcuno è già dentro casa. Segnali tipici di un sito compromesso:
- file con estensione .php che non riconosci, soprattutto nelle cartelle dei caricamenti (wp-content/uploads), dove di PHP non dovrebbe esserci nulla;
- utenti amministratori che non hai creato tu;
- pagine con testi su farmaci, scommesse o orologi che non hai scritto, magari visibili solo a chi arriva da Google;
- il sito che rallenta senza motivo, o che reindirizza a pagine strane;
- avvisi del tuo hosting o di Google sul sito "pericoloso".
Se trovi qualcosa del genere, non basta cancellare il file strano: va cambiata ogni password (WordPress, database, hosting, email collegate) e va capito come sono entrati, altrimenti rientrano.
Cosa ancora non si sa
Con una storia così fresca, onestamente, qualche pezzo manca. Alcune fonti dicono che le falle esistano da PHP 5.4; watchTowr scrive che questa estensione non è stata confermata da un avviso ufficiale. Noi ti diciamo solo ciò che si può verificare: le versioni corrette sono quelle sopra. Il resto va controllato sull'avviso ufficiale di PHP. Se qualcuno ti promette certezze assolute il giorno stesso, sta vendendo qualcosa.
Vuoi sapere quanto rischi? Facciamolo insieme, gratis
Se leggendo hai pensato "ok, ma io non so nemmeno dove sia il mio hosting", sei in ottima compagnia. Per questo offriamo una consulenza gratuita per valutare il tuo rischio: ci dici che siti hai (anche quello dimenticato), noi guardiamo con te che cosa gira, con quale versione, dove sono i backup e se ci sono segnali di guai. Alla fine hai un quadro chiaro: cosa è a posto, cosa va sistemato, cosa è meglio spegnere.
Se ti serve un lavoro vero, ti diciamo cosa e quanto costa. Se non ti serve niente, ti diciamo anche quello: ci siamo già abituati.
Per prenotarla: scrivici a info@sarabi.cloud con scritto "Diagnosi sicurezza sito web" nell'oggetto, oppure usa il modulo di contatto.
Hai un caso simile o un dubbio? Scrivici a info@sarabi.cloud.