PHP2Shell: due vulnerabilità critiche in PHP – aggiorna subito
Pubblicato 21.10.2026 · Livello di gravità : Critico · Aggiornato 27.10.2026
Cosa è successo: il 21 ottobre 2026 PHP ha corretto due vulnerabilità critiche, CVE-2026-109618 e CVE-2026-109619, chiamate «PHP2Shell». Entrambe possono consentire l’esecuzione remota di codice sul server senza autenticazione. La prima riguarda la gestione dell’esaurimento della memoria, la seconda i dati interni che una richiesta successiva potrebbe utilizzare dopo che la memoria è stata liberata.
Quanto è grave: è una vulnerabilità critica. Esempi di codice di attacco sono già pubblici e CERT-FR ha rilevato tentativi di attacco (27 ottobre 2026). Entrambe le vulnerabilità figurano nell’elenco CISA degli Stati Uniti delle vulnerabilità sfruttate attivamente.
Chi è interessato: tutti i siti che utilizzano PHP – tra cui WordPress, Joomla, Drupal e molti negozi online – con PHP 5.x, 7.x, 8.0, 8.1 o 8.2 prima della 8.2.35, 8.3 prima della 8.3.36, 8.4 prima della 8.4.27 e 8.5 prima della 8.5.12. PHP 5, 7, 8.0 e 8.1 non ricevono più correzioni.
Cosa devi fare: aggiorna a PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35 o a una versione successiva. Chiedi al tuo fornitore quale versione di PHP utilizza il tuo sito. Se utilizza una versione che non riceve più correzioni, deve essere migrato a una versione ancora mantenuta. Esistono soluzioni temporanee, ma secondo PHP non rendono sicura un’installazione; solo l’aggiornamento lo fa.
Vedi anche CVE-2026-115560, una nuova vulnerabilità nella stessa area che non è ancora stata corretta. Non sei sicuro dello stato del tuo sito? Scrivici e ti diremo cosa è consigliabile fare.