PHP2Shell: cosa è successo e cosa fare

La mattina del 21 ottobre 2026 due falle di sicurezza critiche nel linguaggio di programmazione PHP sono state rese pubbliche prima che una correzione fosse pronta. Nel giro di poche ore siti governativi, ospedali, club calcistici, aziende mediatiche e università nei Paesi Bassi e in Belgio hanno portato i loro siti offline. DigiD è sparito. L'NCSC, il centro nazionale olandese per la cybersicurezza, ha tolto offline il proprio sito per prudenza.

Ecco cosa è successo, e cosa significa per te.

Cos'è PHP?

PHP è il linguaggio di programmazione che esegue il codice lato server di circa il 70% di tutti i siti web. Ogni sito WordPress, Drupal, Joomla e TYPO3 gira su PHP. Anche molte applicazioni web sviluppate su misura. Esiste dal 1995 e, nonostante l'età, resta la spina dorsale della maggior parte del web.

La falla

Due vulnerabilità, CVE-2026-109618 e CVE-2026-109619, valutate 9,2 su 10 sulla scala di gravità standard. I ricercatori di sicurezza le hanno soprannominate "PHP2Shell".

La falla permette a un attaccante di eseguire codice arbitrario sul tuo server via internet, senza bisogno di nome utente o password. Sono interessate tutte le versioni di PHP dalla 5 in poi. Cioè praticamente ogni versione di PHP mai rilasciata.

La PHP Foundation ha reso disponibile una patch alle 16:00 del 21 ottobre, ma solo per PHP 8.x. Le versioni più vecchie (PHP 7, PHP 5) hanno raggiunto la fine del ciclo di vita e non riceveranno una correzione.

Cosa devi fare?

Scopri se il tuo sito usa PHP. Chiedi al tuo hosting provider o al tuo sviluppatore web. WordPress, Drupal, Joomla e TYPO3 girano tutti su PHP.
Aggiorna PHP. Accedi al pannello di controllo del tuo hosting (cPanel, Plesk o simile) e cerca l'impostazione della versione di PHP. Aggiorna all'ultima versione PHP 8.x. Se non riesci a farlo da solo, contatta oggi il tuo hosting provider e chiedi un aggiornamento.
Se sei ancora su PHP 7 o PHP 5, trattalo come urgente. Per quelle versioni non verrà rilasciata nessuna patch. Passare a PHP 8 richiede prima testare il sito. Se il tuo sito gestisce dati sensibili, valuta di portarlo temporaneamente offline finché l'aggiornamento non è completato.
Dopo l'aggiornamento, verifica la versione. La maggior parte dei pannelli di hosting mostra la versione attuale di PHP. In alternativa: se il tuo server invia un header di risposta X-Powered-By: PHP/8.x.y, conferma che il numero di versione corrisponda all'ultimo rilascio.

Come lo rileva Noroshi?

Molti web server includono la versione di PHP nell'header di risposta X-Powered-By, per esempio X-Powered-By: PHP/8.2.27. Noroshi legge questo header a ogni scansione e confronta la versione rilevata con il nostro database delle vulnerabilità, sincronizzato ogni giorno da CIRCL, il servizio europeo di intelligence sulle vulnerabilità.

Quando la versione corrisponde a un CVE noto, compare una rilevazione nella tua dashboard con la versione esatta, l'identificativo CVE e una correzione passo passo. Quando CVE-2026-109618 e CVE-2026-109619 saranno indicizzati, ogni dominio monitorato il cui server espone una versione vulnerabile di PHP mostrerà la rilevazione alla scansione successiva.

Tutto è completamente passivo: leggiamo le informazioni che il tuo server già invia con ogni richiesta di pagina. Non eseguiamo tentativi di exploit né inviamo payload di alcun tipo.

Se il tuo server non espone la versione di PHP nei suoi header di risposta, il che è di per sé una buona pratica, non possiamo rilevarla in questo modo e nessuna rilevazione viene generata.

Il discorso di fondo

PHP2Shell ricorda una verità di base: il software che fa girare il tuo sito web è anche il bersaglio. Vulnerabilità come questa vengono scoperte regolarmente, e gli attaccanti si muovono in fretta appena una falla viene pubblicata.

Non puoi impedire che le vulnerabilità vengano scoperte. Puoi scegliere di saperne in fretta e agire prima di un attaccante.

← Torna al blog

Scritto da David Hildering, l'ingegnere dietro Noroshi. Di più su Noroshi.