Cos'è la falla PHP php2shell
php2shell è il nome con cui è stata battezzata una coppia di vulnerabilità critiche nel linguaggio PHP, identificate come CVE-2026-109618 e CVE-2026-109619, che permettono a un attaccante di eseguire codice su un server web da remoto e senza password. Non sono un difetto di WordPress o di un singolo plugin: stanno dentro PHP, cioè sotto il sito, e per questo toccano qualunque sito costruito su quel linguaggio. Entrambe hanno ricevuto gravità 9,2 su 10 nella scala CVSS v4.0. Le correzioni ufficiali sono uscite il 21 ottobre 2026. Fonte: Sansec, PHP2Shell: PHP RCE, 2026.
Per un'azienda italiana il punto pratico è uno: se il tuo sito, il tuo e-commerce o il tuo gestionale web girano su PHP, la domanda non è "il mio sito è fatto bene?", ma "il server che lo ospita ha installato la versione corretta di PHP?". A rispondere non sei tu e non è chi ha costruito il sito: è chi gestisce il server.
Per Cloudflare i tentativi di sfruttamento della falla erano "decine di migliaia" entro 45 minuti dalla notizia e milioni entro la sera del 21 ottobre, secondo il CEO Matthew Prince. Fonte: Fortune, 21 ottobre 2026.
Cosa è successo, giorno per giorno
La storia ha una parte lunga, fatta di scoperte discrete, e una parte velocissima, fatta di attacchi. Le date verificate sono queste.
| Data (2026) | Cosa è successo | Chi lo riporta |
|---|---|---|
| 1 agosto | Calif, società di sicurezza, trova il primo problema usando il modello GPT-5.6 Sol di OpenAI | Fortune |
| 19 agosto | Wiz, per conto suo, individua le falle usando Gemini 4 Argon di Google, GPT-5.6 Sol e il proprio strumento Wiz Atlas | Fortune |
| 17 ottobre | Il sistema trappola MadPot di Amazon registra un tentativo di sfruttamento, quattro giorni prima della diffusione pubblica | Help Net Security |
| 21 ottobre | Escono PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Cloudflare segnala i primi attacchi alle 07:43 UTC, prima del rilascio delle 14:00 UTC | Sansec, SecurityWeek |
Greg Brockman, presidente di OpenAI, ha scritto che il difetto era "presente in PHP da 14 anni". Il codice vulnerabile risale infatti a PHP 5.4.0, uscito nel 2012. OpenAI ha poi coordinato un gruppo con Wiz, Calif, la PHP Foundation, Cloudflare, Quarkslab e agenzie del governo americano per preparare le correzioni prima della pubblicazione. Fonti: Fortune, 21 ottobre 2026 e Sansec, 2026.
I dettagli tecnici sono trapelati online prima della data prevista per la pubblicazione, e questo ha accorciato i tempi per tutti. Fonte: SecurityWeek, 2026.
Come funziona la falla (senza gergo)
Le due vulnerabilità sfruttano il modo in cui PHP gestisce la memoria del server mentre elabora una richiesta.
1. CVE-2026-109618: la memoria che finisce a metà
Quando a PHP finisce la memoria mentre sta preparando i dati di una richiesta, si ferma lasciando quei dati costruiti solo in parte. Il codice di pulizia poi si fida di uno stato incompleto, e un attaccante può approfittarne per far eseguire il proprio codice. Fonte: Help Net Security, 21 ottobre 2026.
2. CVE-2026-109619: i dati della richiesta precedente
Nella seconda falla, informazioni che appartenevano a una richiesta sopravvivono dopo che la loro memoria è stata liberata e vengono usate da una richiesta successiva sullo stesso processo del server. Per un attaccante è una porta aperta su ciò che un altro utente aveva appena fatto. Fonte: Help Net Security, 21 ottobre 2026.
3. Perché è grave
Sansec riporta che la prima falla può far uscire dal server pezzi di memoria che "possono contenere password, token di sessione, chiavi API e chiavi private TLS". Secondo Help Net Security esiste un exploit funzionante attivabile con una sola richiesta, prima ancora che il codice del sito entri in gioco. Per questo le protezioni sul sito non sostituiscono l'aggiornamento di PHP. Fonti: Sansec, 2026 e Help Net Security, 2026.
Quanto è reale il rischio oggi
Qui serve onestà, perché le fonti non dicono tutte la stessa cosa e il rischio si capisce solo guardandole insieme.
- Tentativi di attacco: sì, milioni. Cloudflare ha contato milioni di tentativi entro la sera del 21 ottobre e AWS ha scritto che la falla è "ora ampiamente sfruttata in natura" (in inglese: "now being broadly exploited in the wild"). Fonte: Fortune, 2026.
- Violazioni confermate: nessuna, finora. Fortune scrive che non ce ne sono di confermate; un imprenditore ha denunciato un furto di dati, ma resta un'affermazione non verificata. Fonte: Fortune, 2026.
- Siti spenti per prudenza: sì. Più governi hanno messo offline siti per precauzione, tra cui alcune agenzie nei Paesi Bassi e in Finlandia, secondo Reuters citata da Fortune. Fonte: Fortune, 2026.
- Attacco su un sito qualsiasi: meno facile di come sembra. Sansec ritiene lo sfruttamento di massa "meno probabile di quanto ci aspettassimo": serve conoscere il server e certe condizioni, e un ricercatore ha trovato che gli exploit pubblici non funzionano su una installazione PHP predefinita. Fonte: Sansec, 2026.
La lettura giusta per un'azienda è questa: il pericolo non è teorico, ma non è nemmeno certo che il tuo sito sia già stato colpito. Aspettare però non conviene, perché la correzione esiste ed è ufficiale.
Falla PHP e siti delle PMI: WordPress, Joomla, Drupal e gli altri
Molti siti aziendali costruiti con un gestionale di contenuti o con un negozio online girano su PHP (WordPress, Joomla, Drupal, Magento, WooCommerce). Sansec ricorda che Magento, Shopware e WooCommerce sono toccati dalla falla "anche quando il loro codice è pulito", e riporta che Calif ha mostrato un attacco senza login su WordPress, Joomla e Drupal. Fonte: Sansec, 2026.
Conseguenza concreta: aggiornare WordPress, i plugin o il tema non chiude la falla, perché il difetto sta nella versione di PHP installata sul server. La correzione la applica chi gestisce quel server: l'hosting, o il sistemista se hai un server tuo.
| Versione PHP del tuo server | Situazione | Cosa chiedere |
|---|---|---|
| 8.2, 8.3, 8.4, 8.5 | Versioni ancora supportate, con correzione ufficiale | Di essere passati a 8.2.35, 8.3.36, 8.4.27 o 8.5.12 (o superiore) |
| 8.1 e precedenti | Fuori supporto: nessuna versione ufficiale corretta | Se hanno una versione corretta (backport) o un passaggio a una versione supportata |
| Non lo sai | Succede spesso a chi ha un sito aziendale | Quale versione gira oggi e quando è stata aggiornata |
Per le versioni 7.4, 8.0 e 8.1 il gruppo di sicurezza di PHP ha pubblicato correzioni sotto forma di codice sorgente, e alcune distribuzioni hanno fatto i loro backport. È una strada per chi gestisce il server, non per chi ha un hosting condiviso. Fonte: Help Net Security, 2026.
Cosa fare adesso: i 3 passi per una PMI italiana
1. Scrivi oggi al tuo hosting
Un messaggio breve basta: "Avete installato la correzione per le vulnerabilità PHP CVE-2026-109618 e CVE-2026-109619? Quale versione di PHP gira sul mio sito e quando è stata aggiornata?". Se la risposta è vaga, chiedi che sia messa per iscritto.
2. Se usi PHP 8.1 o più vecchio, chiedi un piano
Una versione fuori supporto non riceve correzioni ufficiali. Chiedi se l'hosting ha una versione corretta oppure il passaggio a una versione supportata, e fai provare il sito prima dell'aggiornamento: un cambio di versione può far smettere di funzionare plugin vecchi.
3. Dopo l'aggiornamento, controlla che non sia successo niente
Aggiornare chiude la porta, ma non dice se qualcuno è già entrato. Chiedi al tuo tecnico di guardare i registri del server, i file modificati di recente e gli utenti amministratori, e valuta di cambiare le password e le chiavi del sito, perché la falla può far uscire dati dalla memoria del server.
Se usi Cloudflare, ci sono anche regole di protezione già attive, disponibili per tutti i clienti anche del piano gratuito, ma sono un riparo temporaneo e non sostituiscono l'aggiornamento di PHP. Fonte: Help Net Security, 2026.
Cosa dice questa storia sull'AI e sulla sicurezza
Un difetto presente da 14 anni è stato trovato in poche settimane da modelli di intelligenza artificiale usati da ricercatori. Wiz ha scritto che i modelli di frontiera hanno "ridotto sostanzialmente" la barriera per trasformare un difetto vecchio in un attacco funzionante. Fonte: Help Net Security, 2026.
Per un imprenditore vuol dire che il tempo tra "esce la correzione" e "partono gli attacchi" si sta accorciando: in questo caso i primi attacchi sono arrivati prima del rilascio. È lo stesso tema che abbiamo affrontato parlando di sicurezza e sviluppo dell'AI per le PMI e dei nuovi modelli come Gemini 4 Argon di Google. La difesa pratica è poco spettacolare: sapere chi aggiorna i tuoi server e quanto in fretta lo fa.
Come Ogaia costruisce sistemi AI sicuri per le PMI
In Ogaia | Soluzioni AI & Customer generation per Aziende Italiane costruiamo sistemi AI su misura per PMI e professionisti italiani, con una regola: i dati restano dell'azienda. Per questo ci interessa che dietro ogni sistema ci sia un'infrastruttura aggiornata e gestita da qualcuno che ne risponde, e non un sito dimenticato su un server che nessuno controlla.
Sulla falla php2shell non vendiamo hosting né interventi di sicurezza: il primo passo è la domanda al tuo fornitore, e puoi farla oggi. Se invece vuoi capire come l'AI cambia il tuo modo di acquisire clienti e di organizzare i processi, prenota una call gratuita di 45 minuti: uscirai con una mappa chiara dei tuoi colli di bottiglia, indipendentemente da quello che decidi di fare dopo.