php2shell: la riga PHP più sicura è quella che non viene eseguita

Il 21 ottobre 2026 il progetto PHP ha pubblicato patch d'emergenza per due falle di sicurezza critiche, che chi le ha scoperte ha battezzato «php2shell» (CVE-2026-109618 e CVE-2026-109619). Sono valutate 9.2 su 10 (CVSS v4.0) e possono essere sfruttate da remoto e senza login. In una variante già dimostrata basta una singola richiesta, prima ancora che venga eseguita una sola riga di codice WordPress, Joomla o Drupal.

Il ricercatore di sicurezza Kevin Beaumont ha parlato di una delle più grandi vulnerabilità da anni. Il NCSC britannico consiglia di togliere dalla rete i sistemi che non possono essere aggiornati subito.

Cos'è successo

• L'errore si trova nel nucleo di PHP e non in un plugin o in un tema. Secondo Wiz Research, ogni versione di PHP degli ultimi dieci anni, fino a PHP 5.4, è interessata da almeno una delle due falle.
• Wiz ha dimostrato l'esecuzione di codice remoto senza login contro installazioni aggiornate di WordPress, Drupal e Joomla. Inoltre è possibile leggere la memoria del server, dove possono trovarsi password, token e chiavi API.
• I dettagli sono trapelati prima della patch. Amazon ha registrato un tentativo di sfruttamento già il 17 ottobre, quattro giorni prima della pubblicazione ufficiale.

Sono corrette le versioni PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. PHP 8.1 e le versioni precedenti non sono più supportate ufficialmente dal progetto PHP. In questo caso aiutano solo un upgrade o un backport da parte del fornitore di hosting.

Il vero problema: il sito di cui nessuno si occupa

Chi ha a che fare con i siti delle PMI conosce la situazione: la pagina è stata allestita sette anni fa da un'agenzia. Gira su un pacchetto di shared hosting economico. Il tema WordPress da allora non è stato più toccato e alla domanda «Quale versione di PHP usate in realtà?» segue una scrollata di spalle.

Proprio questi siti diventano ora un rischio. Di solito i gestori non sono negligenti: semplicemente nessuno si sente responsabile. L'esperto di sicurezza Hal Pomeranz ha richiamato l'attenzione su innumerevoli installazioni che non verranno mai aggiornate.

Un attacco colpisce più del solo sito. Chi può eseguire codice sul server può reindirizzare i visitatori verso pagine di phishing, distribuire malware, intercettare i dati dei moduli o inviare spam a nome dell'azienda. Per una PMI questo significa presto: avviso di Google, hosting bloccato, incidente di protezione dei dati.

Il mio sito ha davvero bisogno di PHP?

La stragrande maggioranza dei siti delle PMI non ne ha bisogno.

Il sito di una falegnameria, di uno studio di fisioterapia o di una fiduciaria mostra servizi, referenze, orari di apertura e un modulo di contatto. A ogni visita non deve calcolare nulla. Eppure a ogni apertura di pagina parte un processo PHP, interroga un database e ne compone l'HTML. Con questo arriva tutta la superficie di attacco: PHP stesso, il CMS, decine di plugin, il database e il login di amministrazione.

È come far stampare un biglietto da visita nuovo per ogni interessato, lasciando la tipografia aperta giorno e notte.

Naturalmente ci sono casi in cui serve codice lato server: un negozio online, un portale clienti, una logica di prenotazione complessa. Allora va gestito in modo professionale e aggiornato di continuo. Per la maggior parte dei siti delle PMI, però, PHP è un rischio senza contropartita.

Come Revivra risolve il problema alla radice

Con Revivra modernizziamo proprio siti di questo tipo. Inserite l'URL esistente e rispondete a qualche domanda sul design desiderato. Pochi minuti dopo c'è una presenza ridisegnata, basata sui vostri contenuti esistenti. In vista di php2shell contano soprattutto questi punti:

1. Revivra genera siti statici in puro HTML, CSS e JavaScript, costruiti una sola volta. Non ci sono PHP, database né plugin. All'apertura di una pagina non gira alcun codice lato server che si possa sfruttare, perciò una falla come php2shell non riguarda un sito Revivra.
2. Le pagine arrivano direttamente dall'infrastruttura di Cloudflare (object storage e rete edge). Non dovete gestire alcun web server. Non c'è un server di shared hosting con mod_php o PHP-FPM, né cPanel, né un login di amministrazione sul vostro sito che subisca attacchi brute force giorno e notte. Le pagine statiche servite dall'edge si caricano inoltre in fretta, il che piace sia ai visitatori sia a Google.
3. I moduli di contatto funzionano tramite un servizio separato, gestito da noi. Accanto alle vostre pagine non c'è quindi un kontakt.php, come si trova su innumerevoli vecchi siti.
4. Degli aggiornamenti ci occupiamo noi. Revivra è managed hosting: non ricevete e-mail dall'hoster con la richiesta di aggiornare la versione di PHP, non giocate alla roulette degli aggiornamenti dei plugin e non pagate ore di agenzia per le patch di sicurezza.
5. Modificare resta comunque semplice. I contenuti li adattate nell'editor di Revivra, poi il sito viene ricostruito e pubblicato. Non serve codice.
6. Per le agenzie c'è il White Label. Chi segue decine di siti clienti su PHP questa settimana deve comunque mettere mano a ognuno. Con Revivra possono portarli, con il proprio marchio, su una base statica che richiede poca manutenzione, invece di ricominciare da capo al prossimo CVE critico.

Cosa fare ora in concreto

Il vostro sito oggi gira su PHP, ad esempio su WordPress, Joomla, Drupal, TYPO3 o uno sviluppo su misura?

1. Chiedete oggi stesso. Fatevi confermare dal vostro hoster o dalla vostra agenzia che PHP è stato aggiornato a 8.5.12, 8.4.27, 8.3.36 o 8.2.35 (oppure a una build corretta della vostra distribuzione).
2. Se gira ancora PHP 8.1 o una versione precedente, è un'emergenza, perché non esiste più supporto ufficiale. Eseguite l'upgrade oppure, nel frattempo, mettete la pagina dietro un Web Application Firewall o toglietela dalla rete.
3. Controllate le regole di protezione. Cloudflare ha distribuito regole WAF contro i modelli di attacco noti, secondo le sue indicazioni per tutti i clienti, anche nel piano gratuito. Molti hoster hanno seguito lato server. Chiedete.
4. Poi vale la pena porsi la domanda strategica: deve andare di nuovo così anche la prossima volta?

Fonti

• Wiz Research: «PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet»
• Help Net Security: «PHP2Shell: Critical PHP vulnerabilities patched, update now!»
• Huntress: «Rapid Response: php2shell, Leaked Critical PHP Vulnerabilities»