Vulnerabilità di PHP nel 2026: PHP2Shell, PHP 8.2 e come proteggere il tuo sito

Cos’è PHP2Shell e chi riguarda?

PHP2Shell è il nome con cui sono note due vulnerabilità, CVE-2026-109618 e CVE-2026-109619. Entrambe hanno un punteggio di 9,2 su 10 nella scala CVSS 4.0 e permettono l’esecuzione remota di codice, cioè che un attaccante faccia girare le proprie istruzioni sul tuo server (php.net).

Riguardano quasi tutte le installazioni di PHP che servono pagine web: PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed. Secondo l’avviso ufficiale, il rischio è maggiore con mod_php. Il progetto stesso precisa che non esiste una mitigazione completa e che aggiornare è l’unica opzione sicura (php.net).

Cloudflare ha comunicato di aver rilevato traffico di attacco contro queste falle e di aver attivato regole di protezione nel suo firewall per tutti i piani, compreso quello gratuito, circa nove ore prima che le falle diventassero pubbliche (Cloudflare). Quel firewall aiuta, ma non sostituisce l’aggiornamento.

Quali versioni di PHP sono supportate oggi?

Fonte: php.net, versioni supportate. Ogni versione ha due anni di supporto attivo e altri due anni di patch di sicurezza.

Esistono alcune patch minime per 7.4, 8.0 e 8.1 pubblicate dalla community, e alcuni fornitori offrono un supporto esteso. Sono soluzioni di transizione, non un motivo per restare su quelle versioni.

Quanti siti usano una versione vecchia?

Più di quanto sembri. A gennaio 2026 WordPress ha pubblicato le versioni di PHP usate dalle sue installazioni: il 22,2% era ancora su PHP 7.4 e il 27,3% su PHP 8.2 (WordPress). Sommando i rami 8.1 e precedenti, quasi la metà dei siti WordPress di quel momento girava su versioni che non ricevevano più patch. WordPress raccomanda PHP 8.3 e, dalla versione 7.0, richiede almeno PHP 7.4.

Sul web in generale, W3Techs stima che PHP sia usato dal 69,2% dei siti di cui si può identificare il linguaggio lato server, e che il 34,3% di questi usi ancora PHP 7 o PHP 5 (W3Techs).

Come faccio a sapere quale versione di PHP usa il mio sito?

1. In WordPress, vai in Strumenti > Salute del sito > Info > Server. Lì trovi la versione di PHP.
2. In cPanel, cerca Seleziona versione PHP o MultiPHP Manager.
3. Se non hai accesso, chiedi al tuo fornitore di hosting: “Quale versione esatta di PHP usa il mio sito e ha già la patch del 21 ottobre 2026?”.

Guarda il numero completo. Per esempio, 8.3.36 è corretta e 8.3.30 no.

Cosa faccio se la mia versione non è aggiornata?

1. Fai un backup completo (file e database) e conservalo fuori dal server.
2. Prova la nuova versione su una copia del sito prima di cambiarla sul sito reale. I salti grandi, come da 7.4 a 8.3, possono rompere plugin o temi vecchi.
3. Aggiorna WordPress, il tema e i plugin prima di cambiare PHP, perché di solito sono le versioni nuove a essere compatibili.
4. Cambia la versione di PHP e controlla le pagine principali: home, moduli, carrello e pannello di amministrazione.
5. Se qualcosa non funziona, torna alla versione precedente dallo stesso pannello e correggi il plugin o il tema che ha dato errore.

Se il tuo sito è su 8.2 e funziona bene, aggiornalo subito a 8.2.35 e pianifica il passaggio a 8.3 o 8.4 prima della fine dell’anno.

Cos’altro può lasciare esposto il mio sito?

La versione di PHP è solo una parte del problema. Nei siti WordPress la maggior parte delle vulnerabilità pubblicate ogni anno si trova nei plugin e nei temi, non nel core. Questi sono i rischi che la guida OWASP Top 10 del 2025 indica come più comuni nelle applicazioni web (OWASP):

• Plugin, temi e librerie con falle note (falle nella catena di fornitura). Un plugin abbandonato può restare senza patch per sempre.
• Password deboli e account senza verifica in due passaggi (falle di autenticazione).
• Moduli che accettano qualsiasi file, che possono essere usati per caricare codice sul server.
• SQL injection e XSS, quando il codice non convalida ciò che scrive il visitatore.
• Configurazione non sicura, come mostrare gli errori a schermo o permessi dei file troppo aperti.

Lista di controllo per il tuo sito

• Versione di PHP corretta (8.5.12, 8.4.27, 8.3.36 o 8.2.35 o successive) e piano per abbandonare 8.2 prima del 31/12/2026.
• Backup automatici fuori dal server, con un ripristino testato.
• Plugin e temi aggiornati. Eliminare quelli non usati e quelli non aggiornati da più di un anno.
• Non installare mai plugin o temi “nulled” (versioni a pagamento piratate).
• Verifica in due passaggi (2FA) per gli amministratori, password uniche e account vecchi eliminati.
• Un web application firewall davanti al sito, come quello di Cloudflare o del tuo hosting.
• Errori di PHP nascosti in produzione, esecuzione di PHP bloccata nella cartella dei caricamenti ed editor di file di WordPress disattivato.
• Una persona responsabile di applicare le patch critiche in meno di 24 ore.

Domande frequenti