PHP2Shell: come proteggere i server PHP della tua azienda

Aggiornato al 3 novembre 2026.

Il tuo sito, gestionale o e-commerce usa PHP? Aggiornare soltanto il CMS non basta: controlla la versione del motore PHP e le configurazioni indicate nell’articolo.

Il 21 ottobre 2026 il progetto PHP ha rilasciato le correzioni per due vulnerabilità critiche, CVE-2026-109618 e CVE-2026-109619, note come «PHP2Shell». In alcune configurazioni permettono a un attaccante, anche senza autenticazione, di eseguire codice sul server che ospita un sito o un'applicazione PHP. Entrambe hanno un punteggio CVSS v4.0 di 9,2.

Perché riguarda anche la tua azienda

PHP è alla base di moltissimi siti e applicazioni web: CMS diffusi come WordPress, Drupal e Joomla, gestionali, portali interni ed e-commerce. Il difetto è nel motore PHP, non nel singolo CMS: aggiornare solo il CMS o i plugin non basta.

Le vulnerabilità sono già sfruttate. watchTowr riferisce tentativi di attacco osservati dal 21 ottobre; AWS ha poi individuato un tentativo risalente al 17 ottobre, prima della pubblicazione delle correzioni. Il 26 ottobre la CISA statunitense ha inserito entrambe le vulnerabilità nel suo catalogo delle vulnerabilità sfruttate (KEV). In Italia il CERT-AGID, con una scansione avviata il 22 ottobre, ha rilevato 650 indirizzi web censiti nell'Indice della Pubblica Amministrazione (IPA) che dichiaravano versioni di PHP potenzialmente vulnerabili; nella ricognizione del 26 ottobre erano 467. Sono esposizioni potenziali, dedotte dalla versione dichiarata, non vulnerabilità confermate.

Quali versioni installare

• PHP 8.5: almeno 8.5.12
• PHP 8.4: almeno 8.4.27
• PHP 8.3: almeno 8.3.36
• PHP 8.2: almeno 8.2.35 (supporto di sicurezza fino al 31 dicembre 2026)
• PHP 7.4, 8.0 e 8.1: nessuna nuova release ufficiale del progetto PHP; servono i pacchetti corretti della propria distribuzione o del fornitore di supporto esteso, oppure il passaggio a una versione supportata
• PHP 7.3 e precedenti: nessuna nuova release ufficiale del progetto PHP; verifica eventuali patch del fornitore di supporto esteso e pianifica la migrazione a una versione supportata

Sono coinvolti tutti i modi in cui PHP serve le pagine web: PHP-FPM, Apache con mod_php (il caso considerato più a rischio), php-cgi, LiteSpeed e FrankenPHP. Le distribuzioni Linux con supporto a lungo termine possono applicare le correzioni mantenendo numeri di versione apparentemente precedenti: verifica il bollettino del tuo fornitore.

Priorità operative

Aggiornamenti, controlli e contenimento vanno avviati in parallelo, partendo dai server più esposti.

1. Elenca i sistemi. Individua tutti i server e i container con PHP, a partire da quelli raggiungibili da Internet e da quelli con Apache e mod_php. Comprendi anche hosting gestiti, ambienti di test e immagini container.
2. Aggiorna. Installa la versione corretta sul runtime effettivamente usato dal servizio web e riavvia tutti i processi interessati: con mod_php va riavviato Apache, con PHP-FPM tutti i worker. Un semplice ricaricamento può lasciare attivi processi vecchi. Nei container ricostruisci o aggiorna le immagini e ridistribuisci le istanze.
3. Se non puoi aggiornare subito. Limita l'accesso da Internet (VPN o autenticazione a monte) e attiva regole WAF dedicate, se disponibili. Come misura temporanea imposta session.upload_progress.enabled = 0 nella configurazione amministrativa usata dal servizio (per esempio con php_admin_value nel pool PHP-FPM o nella configurazione di Apache, così che le applicazioni non possano modificarla) e riavvia i processi; la funzione nativa di avanzamento del caricamento dei file viene disattivata. Il progetto PHP precisa che, per PHP2Shell, nessuna modifica di configurazione elimina del tutto il rischio.
4. Verifica i segni di intrusione. L'aggiornamento non rimuove intrusioni già avvenute. Cerca file inattesi nelle cartelle web, processi inattesi avviati con l'utenza del servizio web, accessi anomali e modifiche alle attività pianificate. Sono controlli iniziali: l'assenza di segnali evidenti non dimostra che il sistema sia integro. Se emergono indizi di compromissione, fai preservare le evidenze da personale competente prima degli interventi che possono cancellarle, come riavvii o reinstallazioni, senza rinviare il contenimento.
5. Controlla il kernel Linux. Secondo la scheda CISA, queste falle possono essere concatenate con Fragnesia (CVE-2026-46300), inserita nel catalogo KEV il 28 ottobre, per ottenere privilegi di amministratore sul server. Verifica se il kernel in uso è interessato, applica la correzione della distribuzione e attivala secondo le istruzioni del fornitore, con riavvio quando necessario.

Una terza vulnerabilità, con condizioni di sfruttamento più ristrette

Il 23 ottobre il PHP Security Team ha comunicato CVE-2026-115560, legata alla gestione delle sessioni. Richiede una combinazione poco comune di configurazione e comportamento dell'applicazione: un gestore di serializzazione delle sessioni diverso da quello predefinito, che l'applicazione riporta a «php» prima di avviare la sessione, con l'avanzamento degli upload attivo. Le release del 21 ottobre correggono PHP2Shell ma non questa vulnerabilità: PHP ha annunciato la correzione in un successivo rilascio ordinario. Fino ad allora, impostare session.upload_progress.enabled = 0 blocca il vettore documentato per questa CVE. Gli strumenti che controllano solo la versione di PHP non la rilevano: servono verifiche su configurazione e codice applicativo.

Il punto per chi gestisce l'IT

Episodi come questo mostrano quanto conti sapere con precisione quali sistemi si hanno, aggiornarli con regolarità e avere procedure pronte per gestire un incidente. Per le aziende soggette alla NIS2, inventario dei sistemi, gestione degli aggiornamenti e procedure per gli incidenti contribuiscono ad attuare gli obblighi di gestione del rischio previsti dal D.Lgs. 138/2024, in modo proporzionato al rischio e secondo le specifiche applicabili.

Se ti serve supporto per inventario, aggiornamenti e verifiche di pacchetti e configurazioni, scopri i nostri servizi di cyber security per aziende e la nostra consulenza NIS2. Parliamo del tuo progetto.

Fonti: PHP, annunci di sicurezza; CISA, «CISA Adds Two Known Exploited Vulnerabilities to Catalog» (26/10/2026); CERT-AGID; watchTowr, FAQ CVE-2026-109618; BleepingComputer, rilevazione AWS del 17 ottobre; Cybersecurity360, «PHP2Shell: due vulnerabilità critiche in PHP»; Cybersecurity360, «PHP2Shell e Fragnesia». Le informazioni sono aggiornate alla data indicata e possono cambiare: verifica sempre i bollettini ufficiali di PHP e del tuo fornitore.