PHP2Shell: due falle critiche di PHP e come intervenire

Che cosa è stato pubblicato e perché intervenire

Aggiornato al 22 ottobre 2026. PHP ha pubblicato il 21 ottobre aggiornamenti per CVE-2026-109618 e CVE-2026-109619, chiamate PHP2Shell. Il problema riguarda il motore che serve richieste web, non soltanto un plugin CMS. Lo sfruttamento può consentire esecuzione di codice senza autenticazione su server vulnerabili. Serve urgenza, senza dedurre che un particolare sito sia già compromesso.

L’avviso include PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed. PHP considera massimo il rischio mod_php e documenta sfruttamento dimostrato prima del codice applicativo. Sito piccolo, nessun login o plugin aggiornati non bastano. Identifica il PHP che serve davvero richieste e verifica la correzione. L’esposizione dipende da versione, fornitore e configurazione; questo articolo non determina lo stato di un singolo server.

Le due falle e le versioni corrette

CVE-2026-109618 riguarda corruzione della memoria durante gestione dell’esaurimento di memoria. CVE-2026-109619 riguarda stato interno che sopravvive alla memoria associata e può essere riutilizzato da un’altra richiesta dello stesso worker. La PHP Foundation spiega problemi e correzione. Distinguerli evita una presunta ricetta universale di configurazione. Non occorre riprodurre attacchi per decidere l’aggiornamento; non proponiamo exploit di servizi pubblici né comandi per causare guasti deliberati.

Le versioni corrette del 21 ottobre sono 8.5.12,8.4.27,8.3.36 e 8.2.35. Prima di intervenire consulta l’avviso corrente: possono seguire altre revisioni. Le distribuzioni possono retroportare il fix senza questi numeri base; Ubuntu elenca pacchetti in USN-8948-1. Conferma pacchetto e avviso del fornitore, non soltanto la stringa dell’interprete. PHP 8.1 e precedenti non hanno più supporto del progetto; un fix del distributore non lo ripristina.

CVE-2026-109618 / CVE-2026-109619
PHP 8.2.35 | 8.3.36 | 8.4.27 | 8.5.12

Che cosa chiedere all’hosting e verificare

Per hosting gestito chiedi conferma dei due CVE, pacchetto, servizio coinvolto e processi attivi corretti. Includi domini, pool, container e prodotti con PHP, non solo il terminale principale. Una versione da riga di comando non dimostra necessariamente quella del sito. Come amministratore usa il canale documentato dal fornitore o distribuzione, conservando accesso di recupero e backup adeguato. Evita presunti patch da messaggi o repository non verificati.

Rinnova i processi secondo istruzioni e controlla versione o pacchetto in esecuzione. Prova funzioni essenziali e registra quando è stato corretto. Aggiornare solo CMS o svuotare cache non sostituisce il runtime. Con indizi di intrusione, conserva prove e attiva la risposta agli incidenti: il patch non annulla modifiche dell’attaccante. Sono verifiche operative, non diagnosi remota. Una homepage nuovamente visibile richiede ancora conferma tecnica e validazione funzionale.

Se non puoi aggiornare subito e limiti di WikiURL

PHP avverte che solo l’aggiornamento è una soluzione completa. Le mitigazioni temporanee riducono percorsi specifici ma non rendono sicura l’installazione. Non copiare impostazioni memoria o sessioni senza comprenderne effetti e portata. ENISA raccomanda priorità ai sistemi esposti e isolamento dalle reti pubbliche quando necessario. Coordina accesso amministrativo sicuro e comunicazioni dell’interruzione. Regole WAF o applicazione funzionante non sostituiscono il fix né garantiscono protezione integrale.

WikiURL verifica risposta HTTP e destinazione pubblica dopo manutenzione, ma non identifica il PHP reale né certifica questi CVE corretti.200 o lucchetto HTTPS non sono analisi di vulnerabilità. Non inviare segreti o pubblicare phpinfo per dimostrare il patch. Conserva separatamente conferma del fornitore, processi e prove funzionali. La notizia richiede aggiornamento urgente e risultato verificato, senza intrusioni dichiarate senza prove o falsa tranquillità da una pagina che si apre. Non certifica lo stato di alcuna installazione individuale.