Due gravi falle di sicurezza nel motore PHP interessano una parte importante del web, compresi i siti realizzati con WordPress. Vediamo cosa sta succedendo, quali sono i rischi e perché intervenire tempestivamente è fondamentale.
Un sito web può utilizzare l’ultima versione di WordPress, avere temi e plugin regolarmente aggiornati e, nonostante tutto, essere esposto a una vulnerabilità informatica critica.
È proprio questo uno degli aspetti più preoccupanti di PHP2Shell, il nome con cui sono state identificate due gravi falle di sicurezza nel linguaggio PHP, una delle tecnologie più diffuse per il funzionamento dei siti web.
Il 21 ottobre 2026 sono stati rilasciati aggiornamenti di sicurezza urgenti per risolvere queste vulnerabilità, identificate come CVE-2026-109618 e CVE-2026-109619.
La notizia riguarda sviluppatori e amministratori di sistema, naturalmente, ma anche aziende, professionisti e organizzazioni che utilizzano un sito web per comunicare, vendere prodotti o gestire informazioni.
Per comprenderne la portata, però, dobbiamo partire da una domanda semplice: che cos’è PHP e perché un suo problema può avere conseguenze così importanti?
Che cos’è PHP e perché è così importante per il web
Quando visitiamo un sito web, vediamo pagine, immagini, pulsanti, moduli di contatto e, nel caso di un e-commerce, prodotti e carrelli per gli acquisti.
Dietro ciò che compare sullo schermo, però, ci sono tecnologie che elaborano le richieste degli utenti, recuperano informazioni dai database e permettono al sito di funzionare.
Una di queste è PHP.
PHP è un linguaggio di programmazione utilizzato principalmente sui server web. È alla base di piattaforme molto diffuse, tra cui WordPress, WooCommerce, Drupal e Joomla, oltre a numerose applicazioni sviluppate su misura.
Secondo i dati riportati dai ricercatori che hanno analizzato PHP2Shell, PHP è utilizzato da circa il 70% dei siti web.
Questo significa che una vulnerabilità presente nel suo funzionamento interno può avere conseguenze su scala molto ampia.
Non stiamo parlando di un problema legato a un particolare plugin, a un tema mal progettato o a un errore commesso durante lo sviluppo di un sito.
Il problema, questa volta, si trova in uno degli elementi fondamentali su cui molti siti sono costruiti.
PHP2Shell: che cos’è e cosa può succedere
PHP2Shell è il nome attribuito a due vulnerabilità di sicurezza che interessano il modo in cui PHP gestisce la memoria durante l’elaborazione delle richieste ricevute da un server.
Semplificando, un sito web riceve continuamente richieste: qualcuno apre una pagina, effettua una ricerca, compila un modulo oppure aggiunge un prodotto al carrello.
PHP si occupa di elaborare molte di queste operazioni, utilizzando temporaneamente la memoria del server.
Le vulnerabilità PHP2Shell permettono a un aggressore, in determinate condizioni, di inviare richieste appositamente costruite per alterare questo meccanismo e sfruttare errori nella gestione della memoria.
Le conseguenze potenziali sono particolarmente gravi.
Un attaccante potrebbe riuscire a eseguire codice sul server, accedere a informazioni riservate presenti nella memoria dei processi PHP o provocare malfunzionamenti e interruzioni del servizio.
L’aspetto più delicato è che gli attacchi dimostrati dai ricercatori non richiedono necessariamente credenziali di accesso al sito.
In termini tecnici, si parla di Remote Code Execution (RCE), cioè esecuzione di codice da remoto.
Questo non significa che ogni sito vulnerabile venga automaticamente compromesso. Le possibilità e le modalità di sfruttamento dipendono anche dalla configurazione del server e dall’ambiente in cui PHP viene eseguito.
Significa, però, che il rischio è concreto e sufficientemente grave da richiedere un intervento urgente.
WordPress e WooCommerce sono vulnerabili a PHP2Shell?
È probabilmente una delle domande che interesseranno maggiormente chi gestisce un sito aziendale o un negozio online.
La risposta è che anche i siti WordPress e WooCommerce possono essere esposti a PHP2Shell, se utilizzano una versione vulnerabile di PHP.
I ricercatori hanno dimostrato la possibilità di sfruttare queste vulnerabilità in ambienti basati su WordPress, Drupal e Joomla.
Occorre però fare una distinzione importante.
Non si tratta di una vulnerabilità introdotta da WordPress e non è corretto considerarla un difetto specifico di WooCommerce.
WordPress utilizza PHP per funzionare. Se il motore PHP presente sul server è vulnerabile, anche il sito può risultare esposto, indipendentemente dalla qualità del codice dei suoi plugin.
Un esempio aiuta a comprendere la differenza.
Immaginiamo un negozio con una porta d’ingresso sicura, un sistema di allarme aggiornato e serrature perfettamente funzionanti. Se esiste un problema strutturale nell’edificio, intervenire soltanto sulle serrature non risolve quella debolezza.
Allo stesso modo, aggiornare WordPress, WooCommerce e i plugin resta indispensabile, ma non è sufficiente per correggere PHP2Shell.
La correzione deve riguardare PHP, quindi un componente dell’ambiente server che ospita il sito.
Perché il rischio è particolarmente importante per gli e-commerce
Per un negozio online la sicurezza informatica non riguarda soltanto la protezione del sito.
Un eventuale attacco potrebbe coinvolgere informazioni sugli ordini, dati dei clienti, credenziali e altri elementi riservati accessibili all’applicazione. Potrebbe inoltre compromettere la disponibilità del servizio, interrompendo le vendite.
Le conseguenze possono quindi diventare operative, economiche e reputazionali.
Naturalmente, non tutti gli attacchi comportano necessariamente un accesso ai dati o una compromissione completa. Ma la possibilità di un impatto così significativo rende necessaria una verifica tempestiva.
Le due vulnerabilità PHP2Shell: un primo approfondimento tecnico
Entriamo adesso un po’ più nel dettaglio.
PHP2Shell comprende due vulnerabilità distinte, entrambe classificate con un punteggio CVSS 4.0 pari a 9.2, corrispondente a una gravità critica.
CVE-2026-109618: problemi nella gestione degli errori di memoria
Questa vulnerabilità riguarda il comportamento di PHP quando un processo incontra determinate condizioni di esaurimento della memoria, note come Out of Memory (OOM).
In alcune circostanze, PHP può interrompere un’operazione quando alcune strutture interne non sono state ancora inizializzate correttamente.
Durante la successiva fase di pulizia, il sistema può tentare di utilizzare informazioni che non si trovano in uno stato valido.
Un aggressore può cercare di provocare queste condizioni attraverso richieste HTTP costruite appositamente.
Il risultato può essere una corruzione della memoria che, se sfruttata con successo, permette l’esecuzione di codice non autorizzato.
CVE-2026-109619: utilizzo di memoria non più valida
La seconda vulnerabilità riguarda invece situazioni in cui PHP conserva riferimenti a informazioni che sono già state liberate dalla memoria.
Quando lo stesso processo gestisce una richiesta successiva, potrebbe tentare di utilizzare quei riferimenti non più validi.
Questa classe di problemi è conosciuta come Use-After-Free.
Per comprenderla, possiamo immaginare un programma che conservi l’indirizzo di un’informazione dopo che lo spazio in cui era memorizzata è stato liberato e potenzialmente riutilizzato.
Se quel riferimento viene utilizzato nuovamente, il comportamento può diventare imprevedibile e, in determinate condizioni, sfruttabile da un aggressore.
Entrambe le vulnerabilità riguardano il funzionamento interno di PHP, non necessariamente il codice dell’applicazione ospitata.
Tra gli ambienti interessati rientrano differenti modalità di esecuzione di PHP, tra cui Apache con mod_php, PHP-FPM, php-cgi, FrankenPHP e LiteSpeed.
Gli scenari di sfruttamento non sono identici per tutte le configurazioni. Secondo il team di sicurezza PHP, il rischio è particolarmente elevato negli ambienti che utilizzano mod_php, per i quali è stato dimostrato un attacco eseguibile prima ancora dell’avvio del codice applicativo.
Quali versioni di PHP sono interessate e quali aggiornamenti installare
Gli aggiornamenti correttivi sono stati pubblicati il 21 ottobre 2026.
Le versioni rilasciate dal progetto PHP per correggere le due vulnerabilità sono:
| Versione PHP | Versione corretta |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
Le installazioni che utilizzano versioni precedenti alle rispettive release corrette devono essere verificate.
Un’attenzione particolare va riservata ai siti che utilizzano PHP 8.1 o versioni ancora più vecchie, perché questi rami non ricevono più aggiornamenti ufficiali dal progetto PHP.
Alcuni fornitori di hosting e distributori Linux possono comunque distribuire correzioni di sicurezza specifiche, dette backport, anche senza cambiare il numero principale della versione PHP.
Per questo motivo, il semplice numero di versione non è sempre sufficiente per stabilire se un server sia protetto: occorre verificare anche gli aggiornamenti effettivamente installati dal fornitore.
Va inoltre ricordato che PHP 8.2 terminerà il proprio ciclo di supporto ufficiale il 31 dicembre 2026. Chi utilizza ancora questa versione dovrebbe quindi programmare il passaggio a una release più recente e supportata.
Come verificare se il proprio sito è a rischio
La prima cosa da fare è individuare la versione PHP realmente utilizzata dal sito web.
Per chi utilizza WordPress, un controllo iniziale è disponibile direttamente nell’area amministrativa:
Strumenti → Salute del sito → Informazioni → Server
All’interno di questa sezione è possibile visualizzare la versione PHP utilizzata dal sito.
Un’altra possibilità è consultare il pannello di gestione del proprio hosting, dove generalmente sono disponibili le impostazioni PHP associate al dominio.
Questo controllo costituisce un buon punto di partenza, ma non sempre esaurisce la verifica, soprattutto in presenza di server dedicati, ambienti cloud, container o distribuzioni Linux che applicano correzioni specifiche.
Per una valutazione completa occorre accertare che il servizio web stia effettivamente eseguendo una versione corretta di PHP.
Cosa fare se il proprio server utilizza una versione vulnerabile
La priorità è applicare gli aggiornamenti di sicurezza.
Se il sito è ospitato su un servizio di hosting gestito, è opportuno verificare con il fornitore se gli aggiornamenti siano già stati distribuiti.
Se invece si gestisce direttamente il server, l’intervento deve riguardare i pacchetti PHP effettivamente utilizzati dall’applicazione, verificando il corretto riavvio dei servizi interessati.
Prima dell’aggiornamento è importante disporre di backup affidabili ed eseguire, per quanto possibile, le verifiche di compatibilità necessarie. L’urgenza dell’intervento, però, non dovrebbe diventare un motivo per rimandarlo.
Dopo l’aggiornamento occorre controllare il funzionamento del sito, soprattutto nelle funzionalità più importanti: accessi, moduli, integrazioni, carrello, checkout e processi automatici.
Nel caso di sistemi che potrebbero essere già stati compromessi, aggiornare PHP non sostituisce un’analisi dell’eventuale incidente di sicurezza.
Firewall, plugin di sicurezza e Cloudflare sono sufficienti?
La risposta breve è no.
Le soluzioni di sicurezza applicativa e i Web Application Firewall (WAF) costituiscono un’importante protezione aggiuntiva, ma non correggono il problema presente nel motore PHP.
Cloudflare, per esempio, ha comunicato di aver distribuito protezioni specifiche contro PHP2Shell, disponibili anche per i clienti che utilizzano i propri servizi gratuiti.
Si tratta di una misura utile per ridurre l’esposizione agli attacchi, specialmente durante le operazioni di aggiornamento.
Tuttavia, anche Cloudflare raccomanda di applicare le correzioni PHP.
Lo stesso principio vale per i plugin di sicurezza di WordPress: possono contribuire alla protezione del sito, ma non possono sostituire una correzione necessaria a livello server.
L’aggiornamento di PHP resta l’unica soluzione completa indicata dal team di sicurezza del linguaggio.
Cosa ci insegna PHP2Shell sulla sicurezza dei siti web
La vicenda PHP2Shell mette in evidenza un aspetto spesso sottovalutato nella gestione dei progetti digitali: un sito web non è composto soltanto dalle pagine che vediamo o dal CMS che utilizziamo.
Dietro un sito ci sono sistemi operativi, server web, linguaggi di programmazione, database, servizi esterni e numerose dipendenze tecnologiche.
La sicurezza dipende dall’insieme di questi componenti.
Per questo una corretta manutenzione non può limitarsi agli aggiornamenti dei plugin o alla risoluzione degli errori visibili.
Serve conoscere l’infrastruttura, monitorarne lo stato e prevedere procedure per gestire situazioni urgenti.
PHP2Shell solleva inoltre una questione interessante sul ruolo dell’intelligenza artificiale nella cybersecurity.
Le attività di ricerca che hanno contribuito a individuare e dimostrare la gravità di queste vulnerabilità hanno coinvolto, tra gli altri, Wiz Research, Calif e OpenAI, con un importante contributo di strumenti di intelligenza artificiale.
È un segnale di quanto stiano cambiando gli strumenti a disposizione della ricerca sulla sicurezza informatica. Tecniche che richiedevano analisi complesse e tempi considerevoli possono oggi essere accelerate da strumenti sempre più sofisticati.
Questo offre nuove opportunità a chi lavora per individuare e correggere le vulnerabilità, ma impone anche una maggiore rapidità nella distribuzione e nell’applicazione delle correzioni.
La sicurezza non si esaurisce con un aggiornamento
PHP2Shell è un problema concreto, ma offre anche l’occasione per ricordare una regola fondamentale: la sicurezza di un sito web è un processo continuo, non un’attività da affrontare soltanto quando emerge un’emergenza.
Un sito può apparire perfettamente funzionante e nascondere problemi che non producono sintomi evidenti.
Per questo servono aggiornamenti, monitoraggio, verifiche periodiche e una gestione consapevole dell’infrastruttura.
In AJepCom lavoriamo quotidianamente con WordPress, WooCommerce e le tecnologie che ne consentono il funzionamento, affiancando le attività di sviluppo e ottimizzazione a quelle di manutenzione e gestione tecnica.
Il nostro approccio parte sempre dallo stesso principio: osservare, analizzare e agire.
Di fronte a vulnerabilità come PHP2Shell, significa prima di tutto comprendere quali sistemi siano realmente esposti, individuare gli interventi necessari e applicare le correzioni in modo tempestivo e controllato.
Perché un sito web non deve soltanto funzionare bene. Deve poter continuare a farlo in sicurezza.
