Vai al contenuto
Mimir Lab
← Torna al blog

how it works

PHP2Shell: la mail di due righe da mandare al tuo hoster

Pubblicato il · php, security, wordpress, hosting, smb

In breve: il 21 ottobre 2026 PHP ha pubblicato quattro aggiornamenti di sicurezza, 8.5.12, 8.4.27, 8.3.36 e 8.2.35, per due falle critiche chiamate PHP2Shell. Se il tuo sito WordPress o Joomla sta su un hosting condiviso, l’aggiornamento tocca al tuo hoster, non a te. Il tuo compito è più piccolo: chiedere per iscritto se è stato fatto.

La mail da mandare oggi

Se sei su un hosting condiviso, scrivi al supporto del tuo hoster. Due righe:

Per il dominio [tuodominio.ch]: è installata la correzione per CVE-2026-109618 e CVE-2026-109619, e con quale versione di PHP?
PHP è stato riavviato dopo l’aggiornamento?

Una buona risposta: una versione uguale o superiore a 8.2.35, 8.3.36, 8.4.27 o 8.5.12, oppure una correzione backport con i due codici CVE scritti, e un sì sul riavvio.

Cosa è successo

PHP è il linguaggio che gira sul server e costruisce le pagine del tuo sito a ogni visita. WordPress e Joomla funzionano su PHP.

Le due falle sono CVE-2026-109618 e CVE-2026-109619. PHP le valuta 9.2 su 10 (scala CVSS 4.0), il database americano NVD 9.8 (CVSS 3.1). La prima non richiede alcun login: passa da come PHP legge i dati inviati da un modulo. Entrambe permettono di eseguire codice sul server, cioè di prenderne il controllo.

La sequenza. Il 17 ottobre un honeypot di Amazon, un server esca che registra gli attacchi, ha visto il primo tentativo di sfruttamento, quattro giorni prima della patch. Il 20 ottobre PHP ha annunciato i rilasci e sono trapelati i codici CVE. Nel frattempo un video dimostrativo era stato pubblicato per errore, e la mattina del 21 l’embargo è saltato. La patch, prevista per il 22, è uscita il 21 ottobre.

Perché riguarda probabilmente anche te

PHP gira sul 69,3% dei siti di cui si conosce il linguaggio server (W3Techs, 22 ottobre). WordPress da solo è sul 39,6% di tutti i siti web. E circa 1 sito WordPress su 3 usa PHP 8.1 o più vecchio, versioni per cui i rilasci del 21 ottobre non esistono.

Il caso dimostrato è Apache con mod_php, la configurazione più esposta. Ma php.net indica come colpite anche FPM, php-cgi, FrankenPHP e LiteSpeed. Non serve indovinare quale usa il tuo hoster: basta chiederlo.

Attaccato o no? Cosa sappiamo davvero

Al 22 ottobre:

  • ci sono tentativi di sfruttamento dal 17 ottobre (Amazon);
  • la CISA, l’agenzia americana per la cybersicurezza, il 21 ottobre non aveva osservato sfruttamenti;
  • le due falle non sono nel catalogo CISA delle vulnerabilità sfruttate (KEV);
  • il BACS, l’Ufficio federale della cibersicurezza, ha detto a Keystone-ATS di non conoscere attacchi in Svizzera, ma di non avere un quadro completo.

Quindi: tentativi sì, sfruttamenti confermati no. Ma “nessuno lo sa” non vuol dire “non è successo niente”.

Cosa non ti protegge

Aggiornare WordPress. Il pulsante “aggiorna” nel pannello aggiorna WordPress, i plugin e i temi. PHP sta sotto, sul server, ed è un altro software.

Un firewall per applicazioni web (WAF) da solo. Il BACS lo scrive chiaro: aggiornare subito, un WAF da solo non basta.

Le modifiche alla configurazione. Esistono accorgimenti che riducono il rischio, ma secondo php.net non ci sono mitigazioni complete e aggiornare è l’unica scelta sicura. Se l’hoster ti risponde “abbiamo cambiato la configurazione”, è un passo intermedio, non la correzione.

Stesso giorno, tre scelte diverse

Ho guardato le pagine di stato di tre hoster svizzeri.

cyon, alle 15:45 del 21 ottobre, ha messo offline tutti i siti dei clienti: hosting, server gestiti, Sitebuilder, il pannello my.cyon e la webmail. La posta ha continuato a funzionare, la webmail è tornata la sera stessa. cyon usa CloudLinux e ha scelto di tenere i siti spenti finché il fornitore non avesse consegnato le versioni corrette. Sono arrivate in ritardo e sono state distribuite dalle 2:49. Alle 4:00 del 22 ottobre tutti i siti erano di nuovo raggiungibili, con le patch su tutti i server: circa 12 ore e un quarto offline.

METANET ha avvisato i clienti alle 10:30 del 21 ottobre, ha attivato una protezione provvisoria in giornata e ha installato le versioni CloudLinux arrivate nella notte. Il 22 ottobre i lavori su hosting gestito, condiviso e reseller erano conclusi. VPS e server root restano compito del cliente.

Hostpoint ha pubblicato quattro avvisi il 21 ottobre. L’ultimo dice che l’aggiornamento di sicurezza era installato su tutti i server entro le 17:30.

Nessuna di queste scelte è sbagliata. cyon ha rinunciato a 12 ore di raggiungibilità per non lasciare in rete server senza patch; METANET ha protetto in via provvisoria mentre aspettava. Quale compromesso ti va bene dipende da quanto vale per te un sito online. Quello che conta è sapere cosa ha fatto il tuo hoster, e saperlo da lui.

Cosa fare oggi

Se sei su un hosting condiviso, il primo passo è la mail di due righe all’inizio dell’articolo. Qui sotto, come leggere la risposta.

Il riavvio conta: finché PHP non riparte, in memoria gira ancora la versione vecchia.

Una buona risposta ha una di queste due forme:

  • una versione uguale o superiore a 8.2.35, 8.3.36, 8.4.27 o 8.5.12, secondo il ramo che usi;
  • oppure una correzione “backport”, applicata alla tua versione senza cambiarne il numero, con i due codici CVE scritti nella risposta. Alcune distribuzioni e alcuni fornitori lavorano così: il numero sembra vecchio, ma la falla è chiusa.

In entrambi i casi, con un sì sul riavvio. Non bastano invece “usiamo un firewall”, “abbiamo modificato la configurazione” o “aggiornate WordPress”.

Se il server è tuo, un VPS o un server dedicato, la stessa mail va al tuo sistemista: lì la patch tocca a voi.

Non controllare da solo con una pagina phpinfo pubblica o con un sito “checker” anonimo. Una pagina phpinfo mostra a chiunque la configurazione del tuo server. Un checker di cui non conosci il gestore riceve il tuo dominio e sa che stai cercando una falla. La risposta scritta del tuo hoster vale più di entrambi.

Una data da segnare: il supporto di sicurezza di PHP 8.2 finisce il 31 dicembre 2026. Se oggi ti rispondono “8.2.35”, sei coperto, ma chiedi già adesso quando passerete a una versione più recente.

Trovata con l’AI, corretta da persone

La parte che mi colpisce di più è come è stata scoperta. Le falle sono state segnalate da Wiz Research, da Calif e dal team Codex Security di OpenAI.

La cronologia di Wiz: primo bug il 19 agosto, esecuzione di codice su Drupal il 20, su WordPress il 21, segnalazione a PHP il 24 agosto, conferma di PHP il 21 settembre, patch il 21 ottobre. Wiz ha usato modelli AI in ogni fase: trovare il bug, costruire l’exploit, rilevarlo, verificare la patch. Secondo Wiz, un solo ricercatore ha fatto in una settimana il lavoro che a un team avrebbe richiesto mesi.

E il problema non era nuovo. Secondo la PHP Foundation, un audit di Quarkslab del 2024 aveva già trovato i primi segnali del difetto di memoria; la correzione si è poi fermata per mesi, e la Foundation stessa lo chiama un fallimento strutturale. Calif ha segnalato l’esecuzione di codice l’11 agosto, OpenAI lo stesso giorno, Wiz il 24.

La mia lettura: l’AI accorcia la strada tra “difetto noto” e “difetto sfruttabile”. Per chi ha un sito, la velocità con cui arriva la patch conta più di prima.

Se il tuo sito usa PHP 8.1 o più vecchio

Per queste versioni non c’è un rilascio del 21 ottobre. Alcuni hoster dichiarano di aver corretto anche versioni vecchie sui loro server condivisi: se è il tuo caso, fattelo scrivere con i codici CVE.

Altrimenti le strade sono tre. Aggiornare PHP a una versione supportata, provando prima il sito su una copia. Spostare il sito su una base aggiornata. Oppure, per le versioni non supportate che non si possono aggiornare, la CISA indica di togliere i sistemi PHP dalla rete. È una misura estrema, ma per quel caso la raccomandazione è questa.

Il punto più grande

Lo studio Mobiliar 2026 su 507 PMI svizzere da 1 a 49 dipendenti dice che solo il 28% ha un piano d’emergenza e il 15% fa controlli regolari.

PHP2Shell è un buon test. Chi, nella tua azienda, sa che versione di PHP gira sul sito? Chi ha il contatto del supporto dell’hoster? Se la risposta è “nessuno”, la mail di oggi è il primo pezzo del piano.

Se non sai a chi scrivere o come leggere la risposta, c’è la diagnosi gratuita, 30 minuti: mi racconti la situazione e ti dico da dove partire.

Questo articolo c’è anche in inglese.

Fonti

Verificate il 22 ottobre 2026.

https://www.php.net/archive/2026.php

Cosa vuol dire