In questi giorni avrete forse letto di PHP2Shell, una vulnerabilità che gli esperti di sicurezza considerano tra le più gravi degli ultimi anni. Proviamo a spiegare, senza tecnicismi, di cosa si tratta, perché se ne parla tanto e cosa abbiamo fatto noi.
Prima di tutto: cos’è PHP?
Ogni volta che aprite una pagina web “dinamica” (un gestionale, un negozio online, un sito con area riservata), dietro le quinte c’è un programma che costruisce quella pagina al momento, leggendo i dati e preparando ciò che vedete. Molto spesso quel programma è scritto in PHP, un linguaggio di programmazione nato negli anni ’90 e oggi usato da circa sette siti web su dieci nel mondo, compresi tutti quelli realizzati con WordPress.
Possiamo immaginare PHP come il motore di un’automobile: il sito è la carrozzeria, gli interni, il cruscotto; PHP è ciò che lo fa funzionare.
Cosa è stato scoperto
Nell’agosto 2026 alcuni ricercatori di sicurezza hanno individuato e segnalato in via riservata agli sviluppatori di PHP due difetti nel “motore” stesso, cioè nel modo in cui PHP gestisce la memoria mentre elabora le richieste dei visitatori. Sono stati catalogati con le sigle CVE-2026-109618 e CVE-2026-109619 e hanno ricevuto un punteggio di gravità di 9,2 su 10.
In parole semplici: inviando al server richieste costruite ad arte, un malintenzionato potrebbe riuscire a far eseguire al server istruzioni a sua scelta, senza bisogno di nome utente né password. È quello che in gergo si chiama esecuzione di codice da remoto. Alcuni ricercatori hanno anche dimostrato che, in certe condizioni, sarebbe possibile leggere porzioni della memoria del server, dove possono trovarsi temporaneamente informazioni riservate.
Perché è così seria
Tre elementi rendono PHP2Shell diversa dalle solite segnalazioni:
- Riguarda PHP, non un singolo sito o programma. Di solito una falla colpisce un plugin, un tema, un’applicazione specifica. Qui il problema è nel linguaggio su cui tutto si appoggia: un sito scritto benissimo poteva comunque essere esposto.
- Colpisce praticamente tutte le versioni degli ultimi dieci anni, dalla 5.4 fino alla più recente 8.5.
- I dettagli sono trapelati in anticipo. Era prevista una pubblicazione coordinata per il 22 ottobre, con le correzioni già pronte; invece il 20 ottobre le informazioni sono circolate online, e i primi tentativi di attacco sono stati osservati già nei giorni precedenti.
Non a caso molti l’hanno paragonata a Log4Shell, la grande falla del 2021 che costrinse aziende di tutto il mondo ad aggiornare in fretta i propri sistemi.
La buona notizia: la correzione esiste
Il team di PHP ha reagito molto rapidamente: il 21 ottobre 2026 sono state rilasciate le versioni corrette (8.5.12, 8.4.27, 8.3.36 e 8.2.35). Per le versioni più vecchie, non più supportate ufficialmente, sono state comunque messe a disposizione delle correzioni minime.
Gli esperti concordano su un punto: l’unica difesa davvero efficace è aggiornare PHP e riavviare i servizi che lo utilizzano. Le altre misure temporanee riducono il rischio ma non lo eliminano.
Cosa abbiamo fatto per CGWeb
Appena la notizia è diventata pubblica abbiamo controllato i nostri sistemi. Abbiamo rilevato alcuni tentativi di accesso, tutti falliti. Per scrupolo abbiamo comunque deciso di spegnere temporaneamente il server e di effettuare con calma tutte le verifiche: aggiornamento di PHP, controllo dei registri di accesso, verifica dell’integrità dei file e dei dati.
Preferiamo qualche ora di interruzione programmata a qualsiasi rischio per i vostri dati. Il servizio tornerà disponibile non appena tutti i controlli saranno completati, e vi aggiorneremo sull’esito.
E se avete un sito vostro?
Se avete un sito web, un e-commerce o qualsiasi servizio online, è il momento giusto per chiedere a chi ve lo gestisce:
- Quale versione di PHP è in uso?
- È già stata aggiornata dopo il 21 ottobre?
- Se la versione è molto vecchia e non più supportata, cosa si intende fare?
Non serve allarmarsi, ma è importante non rimandare.
Per qualsiasi domanda potete scriverci tramite il modulo contatti del sito.
