PHP2Shell: esecuzione remota di codice critica in PHP – correggere subito

PHP2Shell: vulnerabilità critiche di esecuzione remota di codice in PHP (CVE-2026-109618 e CVE-2026-109619)

Il 20 ottobre 2026, la comunità della sicurezza di PHP ha divulgato pubblicamente PHP2Shell, una coppia di vulnerabilità ad alto impatto identificate come CVE-2026-109618 e CVE-2026-109619. Entrambe interessano le versioni di PHP dalla 5.4 alla 8.5.11 e consentono l'esecuzione remota di codice senza autenticazione. I manutentori di PHP hanno valutato il problema 9,2 su 10 secondo CVSS v4.0, collocandolo nella fascia critica. Poiché PHP sostiene circa il 70-80% dei siti web nel mondo, la divulgazione ha conseguenze immediate per fornitori di servizi di ospitalità web, agenzie, operatori di commercio elettronico e chiunque gestisca un sito basato su PHP.

Che cosa fanno realmente le due CVE

CVE-2026-109618 è un difetto nella gestione dell'esaurimento della memoria. Quando PHP esaurisce la memoria, utilizza longjmp per interrompere la richiesta corrente. Alcuni percorsi di esecuzione non tengono conto di questa uscita brusca, quindi la memoria della richiesta rimane parzialmente inizializzata. Durante la pulizia, il motore tratta quella memoria non valida come dati validi. Un attaccante può quindi influenzare il flusso di esecuzione ed eseguire codice arbitrario sul server.

CVE-2026-109619 è un difetto di stato globale obsoleto. PHP mantiene variabili globali che puntano temporaneamente alla memoria della richiesta. In determinate situazioni, quello stato globale non viene reimpostato correttamente o viene ripopolato dopo essere stato liberato. Fa quindi riferimento a blocchi di memoria che non appartengono più alle richieste attive. Le operazioni successive leggono questo stato obsoleto o vi si diramano prima che sia inizializzato correttamente, aprendo ancora una volta la porta all'esecuzione remota di codice.

In termini semplici, PHP è il motore che costruisce ed esegue la maggior parte dei siti web dinamici. Questi difetti sono simili a un guasto nel modo in cui il motore gestisce il proprio spazio di lavoro e smaltisce i dati temporanei. Un esterno può inviare una richiesta appositamente costruita che sovraccarica o confonde la gestione della memoria del motore. Quando il motore inciampa, l'attaccante può trasformare quella confusione in comandi eseguiti sul server web, senza alcun accesso o password.

Perché il rischio è urgente

Un attaccante che riesce ottiene l'esecuzione di codice con i privilegi dell'account di lavoro del server web. Tale accesso può essere usato per installare un codice dannoso, camuffare script malevoli come normali file del sito, ridurre l'attività web, mostrare traffico diverso a utenti diversi, spiare i dati delle carte inseriti durante la cassa o chiedere ai visitatori di verificare un comando per installare software dannoso. Molte di queste azioni sono invisibili agli utenti normali e persino agli amministratori del sito. Il sito può sembrare sano mentre serve silenziosamente contenuti malevoli o perde dati.

Sono stati rilevati tentativi di sfruttamento in natura prima che le patch fossero completamente disponibili. Questo rende PHP2Shell un incidente da correggere subito, non un'attività di manutenzione ordinaria. Ogni ora di ritardo aumenta la probabilità che uno strumento automatizzato di scansione trovi un'installazione esposta.

Versioni corrette e che cosa fare

I manutentori di PHP hanno pubblicato aggiornamenti di emergenza il 21 ottobre 2026 per i rami supportati. Le versioni corrette sono PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12. Sono state pubblicate anche patch al codice sorgente per PHP 7.4, 8.0 e 8.1, ma quei rami sono in fine vita e non sono stati forniti binari ufficiali aggiornati. I siti che li eseguono ancora devono passare immediatamente a una versione supportata o utilizzare un fornitore affidabile di supporto a lungo termine.

PHP2Shell: versioni corrette

Gli amministratori devono aggiornare PHP, riavviare PHP-FPM o i processi di lavoro pertinenti e confermare che la versione in esecuzione corrisponda alla versione corretta. Se gestisci un sito ma non sei l'amministratore del server, contatta subito il tuo fornitore di servizi di ospitalità web o l'amministratore e chiedi un controllo PHP2Shell. Un controllo rapido dovrebbe coprire la versione di PHP, la configurazione del server web, le modifiche recenti ai file, le attività pianificate inattese e le connessioni in uscita. Non attendere i sintomi visibili: un sito PHP infetto può rimanere pienamente funzionante mentre un attaccante opera al suo interno.

Per i team tecnici, la priorità è applicare la patch a tutti gli ambienti di esecuzione PHP, inclusi container, ambienti di preproduzione e sottodomini dimenticati. Esamina i log alla ricerca di richieste POST insolite, errori legati alla memoria e processi figli inattesi. Ruota i segreti se si sospetta una compromissione. Per i lettori non tecnici, il messaggio è semplice: chiedi al tuo amministratore di verificare la versione di PHP e applicare l'aggiornamento di emergenza. PHP2Shell è critico, pubblico e attivamente pericoloso.

Se gestisci un negozio online, un blog o un portale clienti, tratta la situazione come un incidente di sicurezza finché non è confermato che la tua versione di PHP è stata corretta. Chiedi conferma scritta della versione e dell'ora di riavvio. Mantieni i backup offline, monitora la presenza di account amministratore inattesi e controlla le pagine della cassa per eventuali modifiche. Il costo di un aggiornamento rapido è piccolo rispetto al costo del furto di dati delle carte, della defacement o di una campagna di distribuzione di software dannoso.