Una nuova allerta di sicurezza informatica coinvolge PHP, uno dei linguaggi più utilizzati per realizzare siti web. Scoperte due vulnerabilità critiche che potrebbero consentire agli hacker di prendere il controllo dei server e accedere a informazioni riservate. Ecco cosa sta succedendo e come proteggere il proprio sito.
Il 21 ottobre 2026 è stata resa pubblica una grave vulnerabilità informatica denominata PHP2Shell, che interessa PHP, il linguaggio utilizzato da una parte significativa dei siti web presenti su Internet.
Il problema riguarda due falle di sicurezza, identificate come CVE-2026-109618 e CVE-2026-109619, presenti nel funzionamento interno di PHP.
La particolarità di questa scoperta è che le vulnerabilità non riguardano uno specifico sito web, un plugin o un particolare CMS, ma direttamente il motore PHP sul quale funzionano moltissime piattaforme.
Questo significa che anche un sito WordPress, Joomla o Drupal perfettamente aggiornato potrebbe risultare vulnerabile, se il server utilizza una versione di PHP che non contiene le correzioni di sicurezza.
In determinate condizioni, queste vulnerabilità possono consentire a un malintenzionato di eseguire operazioni sul server da remoto, senza dover accedere all'area amministrativa del sito e senza conoscere alcuna password.
Le possibili conseguenze sono molto serie:
Furto di informazioni riservate: accesso a dati sensibili, password e altre informazioni presenti nella memoria del server.
Compromissione del sito web: possibilità di modificare contenuti, installare software malevolo o eseguire operazioni non autorizzate.
Interruzione dei servizi: malfunzionamenti o blocchi del sito e delle applicazioni ospitate.
Possibile compromissione di altri servizi: in base ai permessi disponibili, l'impatto potrebbe estendersi ad altri sistemi collegati.
È importante precisare che la presenza di una versione vulnerabile non significa automaticamente che il sito sia già stato attaccato, ma che potrebbe essere esposto a tentativi di compromissione.
Il problema interessa potenzialmente tutti i siti e le applicazioni che utilizzano versioni di PHP non corrette.
Tra questi rientrano:
Siti aziendali e blog realizzati con WordPress.
Portali web sviluppati con Joomla o Drupal.
E-commerce basati su WooCommerce, PrestaShop, Magento e altre soluzioni PHP.
Gestionali, portali e applicazioni web sviluppati direttamente in PHP.
Non è quindi la piattaforma utilizzata a determinare da sola il rischio, ma soprattutto la versione di PHP installata sul server e la sua configurazione.
La buona notizia è che gli sviluppatori di PHP hanno già pubblicato gli aggiornamenti necessari a correggere le vulnerabilità.
1. Verificare la versione PHP utilizzata
Il primo passo è controllare quale versione di PHP viene eseguita dal proprio sito web.
Su WordPress, ad esempio, è possibile visualizzarla nella sezione Strumenti → Salute del sito → Informazioni → Server.
In alternativa, la versione può essere verificata dal pannello di gestione dell'hosting oppure richiesta direttamente al proprio fornitore tecnico.
2. Aggiornare PHP a una versione corretta
Le versioni contenenti gli aggiornamenti di sicurezza rilasciati il 21 ottobre 2026 sono:
PHP 8.5.12
PHP 8.4.27
PHP 8.3.36
PHP 8.2.35
Anche le versioni successive che includono le stesse correzioni risolvono queste vulnerabilità. Alcuni fornitori di hosting possono inoltre distribuire correzioni specifiche all'interno dei propri pacchetti software.
Le versioni PHP più vecchie, ormai fuori dal supporto ufficiale, richiedono particolare attenzione.
3. Non limitarsi ad aggiornare WordPress e i plugin
Questo è un aspetto fondamentale.
Aggiornare il CMS, i temi e le estensioni rimane una buona pratica di sicurezza, ma non elimina PHP2Shell.
Per risolvere queste specifiche vulnerabilità è necessario intervenire sull'installazione PHP del server.
4. Effettuare un backup e verificare la compatibilità
Prima di aggiornare PHP è opportuno disporre di un backup completo del sito e del database.
L'aggiornamento, soprattutto su siti datati, può richiedere una verifica della compatibilità con temi, plugin e componenti personalizzati.
5. Attivare ulteriori sistemi di protezione
Un firewall applicativo (WAF) può contribuire a bloccare alcuni tentativi di attacco.
Questi sistemi rappresentano però una protezione aggiuntiva e non sostituiscono l'aggiornamento di PHP.
La vicenda PHP2Shell evidenzia un aspetto spesso sottovalutato: la sicurezza di un sito web dipende anche dalle tecnologie utilizzate per realizzarlo e dalla possibilità di mantenerle costantemente aggiornate.
In ADD Solution abbiamo scelto da tempo un approccio differente rispetto all'utilizzo sistematico di CMS e piattaforme preconfezionate.
Sviluppiamo direttamente siti web, e-commerce, gestionali e applicazioni personalizzate, utilizzando prevalentemente tecnologie Microsoft, come ASP.NET Core e .NET.
Questo approccio ci permette di progettare soluzioni su misura, mantenendo un controllo diretto sull'architettura, sul codice sorgente e sui componenti utilizzati.
I siti e le applicazioni che sviluppiamo interamente con tecnologia .NET, senza utilizzare PHP, non sono interessati dalla vulnerabilità PHP2Shell, poiché non utilizzano il motore PHP nel quale è stato individuato il problema.
Questo non significa che una tecnologia sia immune da vulnerabilità o che le soluzioni sviluppate su misura non richiedano aggiornamenti e controlli di sicurezza.
Significa, piuttosto, poter scegliere consapevolmente gli strumenti di sviluppo, ridurre le dipendenze non necessarie e intervenire direttamente sulle proprie applicazioni quando emergono nuove esigenze o problematiche di sicurezza.
Per noi, sviluppare un sito web non significa soltanto realizzare qualcosa che funzioni oggi, ma costruire una soluzione affidabile, personalizzata e progettata per evolvere nel tempo.
Sì, è consigliabile verificare quanto prima la propria configurazione.
La gravità delle vulnerabilità e la loro diffusione rendono importante non rimandare i controlli.
Se il tuo sito utilizza WordPress, Joomla, Drupal o un'altra piattaforma sviluppata in PHP, ti consigliamo di contattare il tuo fornitore hosting o il tecnico che gestisce il sito per verificare che siano stati installati gli aggiornamenti necessari.
La sicurezza di un sito web non dipende soltanto dalla piattaforma utilizzata, ma anche dalla corretta manutenzione dell'infrastruttura su cui viene ospitato.
ADD Solution è a disposizione per verificare la sicurezza del tuo sito web e valutare gli interventi necessari per mantenerlo aggiornato e protetto.
Wiz Research – PHP2Shell: analisi della vulnerabilità
The PHP Foundation – Aggiornamento di sicurezza del 21 ottobre 2026
PHP.net – Security Advisory e versioni corrette