Il 21 ottobre sono state corrette due falle gravissime nel motore di PHP. Ecco cosa sono, chi riguardano e quali interventi servono.

Il 21 ottobre 2026 il team di sviluppo di PHP ha pubblicato aggiornamenti straordinari per correggere due vulnerabilità critiche, identificate come CVE-2026-109618 e CVE-2026-109619 e note come PHP2Shell. Hanno ricevuto un punteggio di gravità di 9,2 su 10. Le ha individuate un gruppo di ricercatori grazie all'utilizzo dell'intelligenza artificiale.

Di cosa si tratta
Sono difetti nel modo in cui PHP gestisce la memoria in condizioni di errore. In pratica, un attaccante può inviare richieste costruite ad arte a un sito e ottenere l’esecuzione di codice sul server, senza bisogno di password. Una delle due falle può inoltre rivelare parte della memoria del server, dove possono trovarsi credenziali e chiavi di accesso.

Il difetto è nel motore PHP, non nel CMS o in un plugin. Per questo sono esposti i siti realizzati con WordPress, Joomla, Drupal, PrestaShop, Magento e con qualunque altro software PHP.

Perché è urgente

• La gravità è critica (9,2 su 10) e le falle sono sfruttabili da remoto senza autenticazione.
• Secondo diversi report di settore, i primi tentativi di attacco sono stati osservati già prima della divulgazione.
• L’ACN ha diffuso un alert, e in Europa alcuni enti hanno disattivato temporaneamente i propri siti in via precauzionale.

Quali versioni sono sicure
Le versioni corrette sono PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Le versioni PHP 8.1 e precedenti non ricevono più aggiornamenti ufficiali: per i siti che le usano la soluzione è passare a una versione supportata. Anche la 8.2 smette di ricevere aggiornamenti il 31 dicembre 2026: per questo, quando possibile, portiamo i siti su una versione più recente.

Cosa facciamo per il tuo sito
L’intervento di messa in sicurezza comprende:

1. Verifica della versione PHP attiva sul sito.
2. Aggiornamento a una versione corretta e supportata.
3. Test di funzionamento del sito dopo l’aggiornamento. Se qualcosa non funziona a causa del nuovo PHP, come un tema o un plugin datato, lo ripariamo noi, in modo che il sito torni a funzionare normalmente.
4. Controlli di sicurezza: ricerca di segnali di compromissione e, dove opportuno, sostituzione di password e chiavi di accesso.

Cosa devi fare tu
Scrivici o telefonaci per concordare l’intervento sul tuo sito. Ti consigliamo di non aspettare: più tempo passa, più a lungo il sito resta esposto.

Domande frequenti

• Devo aggiornare il mio CMS o i plugin? Non basta: il problema è nella versione di PHP che gira sul server, quindi serve un intervento a quel livello.
• Il mio sito è stato attaccato? Senza controllare i log non si può escludere. L’ACN raccomanda di verificarli anche dopo l’aggiornamento: per questo il controllo è parte del nostro intervento.
• Il sito smetterà di funzionare? L’aggiornamento di PHP può creare incompatibilità con componenti datati. Per questo accompagniamo l’intervento con test prima e dopo. Se qualcosa non funziona come prima, lo ripariamo noi.