Il 21 ottobre 2026 il team di sviluppo di PHP ha rilasciato un aggiornamento di sicurezza urgente per correggere due vulnerabilità critiche, identificate come CVE-2026-109618 e CVE-2026-109619. Tra gli addetti ai lavori sono già note con il nome di PHP2Shell.
Le principali agenzie di sicurezza informatica internazionali, tra cui CISA negli Stati Uniti, CERT-EU e il Centro canadese per la cybersicurezza, hanno invitato tutte le organizzazioni ad aggiornare immediatamente i propri sistemi.
Che cos’è PHP e perché riguarda (quasi) tutti
PHP è il linguaggio di programmazione su cui si basa la maggior parte dei siti web nel mondo. Lo usano WordPress, WooCommerce, Joomla, molti gestionali online e innumerevoli applicazioni web. Se hai un sito, è molto probabile che funzioni grazie a PHP, anche se non lo sai.
Quanto è grave il problema
Entrambe le vulnerabilità hanno un punteggio di gravità di 9.2 su 10. In sostanza consentono a un malintenzionato di eseguire codice da remoto sul server, senza bisogno di credenziali di accesso.
Le conseguenze possibili:
- presa di controllo del sito web;
- inserimento di contenuti malevoli, spam o pagine di phishing;
- furto di dati, compresi quelli dei visitatori o dei clienti di un e-commerce;
- compromissione dell’intero server che ospita il sito.
A rendere la situazione più delicata, nei giorni successivi alla scoperta sono stati diffusi pubblicamente dettagli tecnici ed esempi di sfruttamento. Per questo il tempo di reazione è fondamentale.
Quali versioni sono interessate
Il problema riguarda praticamente tutte le versioni di PHP degli ultimi vent’anni. Le versioni corrette sono:
- PHP 8.2.35
- PHP 8.3.36
- PHP 8.4.27
- PHP 8.5.12
Attenzione: PHP 8.1 e le versioni precedenti non riceveranno aggiornamenti ufficiali. Un sito che usa ancora queste versioni deve essere migrato a una versione supportata. In molti casi questo richiede un adeguamento di tema, plugin o codice.
Cosa fare
- Verifica la versione di PHP del tuo sito. Su WordPress la trovi in Strumenti → Salute del sito → Info → Server.
- Aggiorna PHP a una versione corretta, o chiedi al tuo provider di hosting se l’aggiornamento è già stato applicato.
- Se il sito usa una versione obsoleta, pianifica subito la migrazione a un ramo supportato, dopo un backup completo.
- Controlla eventuali segnali di intrusione: utenti amministratori sconosciuti, file modificati di recente, comportamenti anomali del sito.
Se non sai da dove cominciare, rivolgiti a chi gestisce tecnicamente il tuo sito. Non è un intervento da rimandare.
Per i clienti De Marchi
Stiamo verificando tutti i siti web che gestiamo. I nostri clienti riceveranno nei prossimi giorni un’email con tutti i dettagli sullo stato del proprio sito e sugli eventuali interventi necessari.
Non sai se il tuo sito è al sicuro?
Se il tuo sito non è gestito da noi e vuoi capire se è esposto a questa vulnerabilità, possiamo aiutarti. Controlliamo la versione di PHP in uso, la compatibilità con le versioni aggiornate e l’eventuale presenza di anomalie. Poi ti indichiamo con chiarezza cosa serve fare.