Ieri abbiamo scritto che i siti web che ospitiamo sono rimasti online mentre DigiD, MijnOverheid e la Camera dei Paesi Bassi andavano offline. Oggi si sa di più sulle due falle PHP: se vengono sfruttate, cosa fanno esattamente e per chi non arriverà nessuna soluzione. Ecco la situazione, in parole semplici.

Ultimo aggiornamento: venerdì 23 ottobre 2026, ore 00:30. Aggiorneremo questo articolo finché la notizia si evolve.

La falla ora ha un nome: PHP2Shell

Le due vulnerabilità (CVE-2026-109618 e CVE-2026-109619) sono note insieme come PHP2Shell. Si trovano in PHP stesso, non in WordPress né in un plugin, e in linea di principio riguardano ogni sito web che gira su PHP. La divulgazione era prevista per il 22 ottobre, ma i dettagli sono trapelati il 20 ottobre sui social media. Per questo il team PHP ha rilasciato la patch un giorno prima del previsto e molte organizzazioni hanno messo offline i propri siti per precauzione.

Le versioni corrette sono PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Se il tuo sito gira su una di queste versioni, per te la falla è chiusa.

La falla viene sfruttata?

Oggi le opinioni in merito si sono spostate, in due direzioni:

  • L’NCSC (il Centro nazionale olandese per la sicurezza informatica) il 21 ottobre riferiva di non avere ancora indizi di sfruttamento. Il 22 ottobre ha fatto sapere di stare indagando sui primi segnali di sfruttamento riuscito.
  • I ricercatori di sicurezza hanno visto arrivare tentativi di attacco tramite server esca (honeypot). Allo stesso tempo Sansec, di Utrecht, sostiene che uno sfruttamento di massa è meno probabile di quanto temuto il primo giorno: il codice di attacco condiviso pubblicamente non funziona contro un’installazione PHP standard, e un attacco richiede conoscenze specifiche del server bersaglio.
  • Il governo statunitense (CISA) insiste sull’aggiornamento immediato, ma non ha (ancora) inserito le falle nel suo elenco di vulnerabilità attivamente sfruttate.

La nostra lettura: un server aggiornato è sicuro, e un server non aggiornato non è un “piccolo rischio” ma una porta aperta a cui ormai qualcuno sta bussando. Aspettare non è più un’opzione.

Non solo esecuzione di codice: anche una perdita di memoria

Un dettaglio ieri ancora poco considerato: una delle due falle può anche far trapelare la memoria del server. Tramite un cookie di sessione un attaccante può recuperare frammenti di memoria del server web, che possono contenere password, token di sessione o chiavi API di altri visitatori. Funziona persino su siti che non usano affatto le sessioni.

In pratica significa: se tra il 20 e il 22 ottobre il tuo sito era su un server non aggiornato, valuta di rinnovare le password e le chiavi API in uso su quel server. Non perché sia sicuramente successo qualcosa, ma perché non puoi escluderlo.

Nessuna patch per PHP 8.1 e versioni precedenti

Questo è forse il punto più importante per molti imprenditori. PHP 8.1, 8.0 e tutte le versioni 7.x non sono più supportate e non ricevono alcun aggiornamento di sicurezza. Un sito su una di queste versioni resta vulnerabile finché il server non viene portato a PHP 8.2 o successivo. Non è questione di premere un pulsante: vecchi plugin e temi a volte non funzionano su una nuova versione di PHP, quindi va testato.

Così lo controlli da solo in WordPress: vai su Strumenti → Salute del sito → Info → Server. Lì trovi la versione di PHP. Inizia con 8.2, 8.3, 8.4 o 8.5 e il numero di versione è uguale o superiore a quelli indicati sopra? Allora sei aggiornato. Se vedi 8.1 o inferiore, contatta oggi stesso il tuo hosting.

Cosa abbiamo fatto e continuiamo a fare

  • Tutti i server su cui ospitiamo sono stati aggiornati a una versione PHP corretta il 21 ottobre, lo stesso giorno del rilascio.
  • Verploy, la nostra piattaforma di manutenzione, dopo l’aggiornamento ha verificato che ogni sito cliente funzionasse ancora correttamente. Così è stato ovunque: nessun sito è andato offline.
  • Nei nostri log non abbiamo rilevato alcuno sfruttamento, e nei prossimi giorni continueremo a monitorare con particolare attenzione il traffico anomalo.
  • Nessuno dei nostri siti cliente gira su PHP 8.1 o precedente. Non è un caso: gli upgrade tempestivi di PHP fanno parte della nostra manutenzione.

Tre cose che puoi fare oggi

  1. Controlla la tua versione di PHP (vedi sopra) o chiedilo al tuo hosting. Un buon hosting sa dirti subito quando è stata applicata la patch.
  2. Rinnova password e chiavi API se il tuo sito è stato su un server non aggiornato.
  3. Fai in modo che questa sia l’ultima volta che devi scoprirlo da solo. Un sito web va monitorato, non guardato una volta all’anno.

Non sai come sta il tuo sito?

Lascia qui sotto l’indirizzo del tuo sito. Riceverai via e-mail un breve report personale: il tuo sito gira su una versione PHP sicura, come vanno velocità e visibilità, e quali sono i tre miglioramenti con il maggiore impatto. Gratis e senza impegno.

Prenota una consulenza gratuita   

Preferisci chiamare? +31 (0)166 700204, lun–ven 9:00–17:30.

Fonti: Sansec, analisi PHP2Shell (aggiornata il 22 ottobre) · watchTowr, FAQ PHP2Shell · Help Net Security · Scientias · avviso di sicurezza php.net del 21 ottobre 2026.