PHP2Shell è una falla di sicurezza Zero Day scoperta nel codice di PHP, il linguaggio su cui funziona circa il 70% dei siti web, WordPress compreso. Resa pubblica il 21 ottobre 2026, permette a un attaccante di eseguire comandi sul server che ospita il sito e prenderne il controllo, senza bisogno di credenziali.
Gli sviluppatori di PHP hanno rilasciato in urgenza gli aggiornamenti per le versioni dalla 8.2 alla 8.5. Su tutti i server gestiti da Dibix sono già stati installati. Qui ti spieghiamo cosa è successo, quali siti sono a rischio e cosa fare se il tuo è ospitato altrove.
Cos’è una falla Zero Day e cosa è successo con PHP
Una falla Zero Day è un difetto di sicurezza che può essere sfruttato prima che esista una correzione: gli sviluppatori hanno avuto “zero giorni” per sistemarlo. Nel caso di PHP2Shell, il difetto era presente nel codice dalla versione 5.4 di PHP, cioè da oltre dieci anni, senza che nessuno se ne accorgesse.
In realtà le falle sono due, registrate con i codici CVE-2026-109618 e CVE-2026-109619. Entrambe hanno un livello di gravità di 9.2 su 10. Entrambe consentono la cosiddetta “esecuzione di codice da remoto”: un malintenzionato può far eseguire al server istruzioni a sua scelta, ad esempio per rubare dati, modificare il sito o installare software dannoso.
Scoperta con l’intelligenza artificiale
Le falle sono state individuate a inizio agosto 2026 dai ricercatori di sicurezza di Calif, con l’aiuto di GPT-5.6 Sol, un modello di intelligenza artificiale di OpenAI. La correzione è stata coordinata con la PHP Foundation e con aziende di sicurezza come Wiz e Cloudflare. È uno dei primi casi in cui l’AI scopre un problema critico rimasto nascosto per anni in un software usato da milioni di siti.
Dettagli trapelati e attacchi già in corso
Gli aggiornamenti dovevano uscire il 22 ottobre 2026, ma i dettagli sono trapelati in anticipo e la pubblicazione è stata anticipata al 21 ottobre. Già il giorno dopo Cloudflare ha registrato milioni di tentativi di attacco. Dopo un avviso del CERT-EU, alcuni governi, ospedali e scuole europei hanno messo temporaneamente offline i propri siti. Anche la NSA statunitense e l’agenzia tedesca per la sicurezza informatica (BSI) hanno invitato ad aggiornare subito.
Perché la falla di PHP riguarda anche il tuo sito
PHP è il linguaggio di programmazione che lavora “dietro le quinte” di un sito, sul server: gestisce database, moduli di contatto, carrelli e aree riservate. È usato da circa il 70% dei siti web nel mondo.
WordPress funziona proprio con PHP. Da solo copre circa il 41% di tutti i siti web e circa il 60% di quelli realizzati con un CMS. Anche altre piattaforme molto diffuse si basano su PHP, come Magento per gli e-commerce e Drupal.
Il problema non riguarda il tema, i plugin o i contenuti del sito, ma il motore che lo fa girare. Per questo aggiornare WordPress non basta: va aggiornata la versione di PHP installata sul server.
Quali versioni di PHP sono vulnerabili
Tutte le versioni di PHP dalla 5.4 in poi sono vulnerabili. La soluzione cambia in base alla versione usata dal tuo sito.
- PHP 8.2, 8.3, 8.4 e 8.5: l’aggiornamento ufficiale è già disponibile. Le versioni sicure sono la 8.2.35, la 8.3.36, la 8.4.27 e la 8.5.12.
- Dalla 5.4 alla 8.1: il progetto PHP non le aggiorna più ufficialmente, ma questo non significa che siano rimaste senza correzione. Il repository di Ondřej Surý (noto come “Sury”), non ufficiale ma molto usato sui server Linux, ha rilasciato le patch per tutte le versioni dalla 5.6 alla 8.1. Correzioni per alcune di queste versioni sono arrivate anche da Ubuntu, Red Hat, CloudLinux, cPanel e Plesk. Per PHP 5.4 e 5.5 le correzioni sono invece molto rare.
Attenzione anche a PHP 8.2: dal 31 dicembre 2026 non riceverà più aggiornamenti di sicurezza. Se il tuo sito la usa, conviene pianificare già ora il passaggio alla 8.4 o alla 8.5.
Cosa abbiamo fatto noi di Dibix
Appena è uscita la notizia, abbiamo installato gli aggiornamenti di sicurezza su tutti i nostri server. Così abbiamo chiuso la falla prima che potesse diventare un problema per i siti dei nostri clienti.
Tutto è avvenuto senza interruzioni: i siti e i gestionali che seguiamo hanno continuato a funzionare normalmente e non è stato necessario spegnerli. Se il tuo sito è ospitato da noi, non devi fare nulla.
Cosa fare se il tuo sito è ospitato altrove
Se il tuo sito non è gestito da Dibix, verifica subito la versione di PHP in uso e se il tuo hosting ha già installato gli aggiornamenti.
- Controlla la versione di PHP. La trovi nel pannello del tuo hosting oppure, su WordPress, in Strumenti > Salute del sito > Info > Server.
- Se usi PHP dalla 8.2 alla 8.5, chiedi al provider se ha installato le versioni corrette (8.2.35, 8.3.36, 8.4.27 o 8.5.12).
- Se usi PHP 8.1 o precedente, chiedi al provider se ha già installato le patch di sicurezza per la tua versione, ad esempio tramite il repository Sury o il proprio fornitore Linux. Se la risposta è no, o non è chiara, è il momento di passare a una versione supportata.
- Se il sito non può essere messo in sicurezza a breve, valuta di metterlo temporaneamente offline, come raccomandato da CERT-EU e NSA.
Se non sai da dove iniziare, contattaci: verifichiamo la versione di PHP del tuo sito e ti aiutiamo a metterlo in sicurezza.
Sì, se il server che lo ospita usa una versione di PHP non aggiornata. WordPress funziona con PHP, quindi eredita la falla PHP2Shell. Il sito è protetto se gira su PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12 o versioni successive, oppure su una versione precedente a cui il provider ha applicato le patch di sicurezza.
No. La falla è in PHP, non in WordPress o nei plugin. Va aggiornata la versione di PHP installata sul server, un’operazione che di solito spetta all’hosting o all’agenzia che gestisce il sito.
PHP 7.4, 8.0 e 8.1 non ricevono più aggiornamenti ufficiali dal progetto PHP, ma molti fornitori hanno rilasciato comunque le patch, a partire dal repository Sury. Chiedi al tuo hosting se la correzione è già installata sul tuo server. Nel medio periodo conviene comunque passare a PHP 8.2 o superiore.
PHP2Shell è stata scoperta ad agosto 2026 dai ricercatori di sicurezza di Calif con l’aiuto di GPT-5.6 Sol, un modello di intelligenza artificiale di OpenAI. Gli aggiornamenti sono stati pubblicati il 21 ottobre 2026, un giorno prima del previsto, perché i dettagli erano trapelati.
Solo se usa una versione di PHP vulnerabile e non può essere aggiornato a breve. In quel caso CERT-EU e NSA raccomandano di metterlo offline temporaneamente. Se il sito è già aggiornato, non serve
Sì. Dibix ha installato gli aggiornamenti di sicurezza su tutti i propri server subito dopo l’annuncio. I siti e gli applicativi dei clienti hanno continuato a funzionare senza interruzioni.
La sicurezza del tuo sito è parte del nostro lavoro
Dibix è un’agenzia digitale di Pisa che realizza e gestisce siti web, e-commerce e applicativi su misura per le piccole e medie imprese. Teniamo d’occhio ogni giorno gli avvisi di sicurezza, così i nostri clienti possono pensare al loro lavoro. Vuoi sapere se il tuo sito è protetto? Scrivici e lo verifichiamo insieme.
Fonti
- PHP.net – Annuncio di sicurezza del 21 ottobre 2026
- Punto Informatico – PHP rilascia patch per vulnerabilità scoperte con GPT-5.6 Sol
- ANSA – La NSA esorta l’aggiornamento dei siti dopo le falle alla sicurezza in PHP
- Reuters – EU agency warns websites may need to be taken offline as PHP prepares patches
- FBI Cyber Division su X
- Mattias Geniar – PHP CVE-2026-109618 and CVE-2026-109619: how to apply the patches
