Il 21 ottobre 2026, la pubblicazione di due gravi vulnerabilità nel linguaggio PHP ha fatto scattare un’allerta internazionale, spingendo sviluppatori, fornitori di hosting e responsabili della sicurezza informatica a intervenire rapidamente per proteggere i propri sistemi. Le falle, conosciute con il nome di PHP2Shell, possono consentire, in determinate condizioni, l’esecuzione di codice da remoto sui server vulnerabili, anche senza disporre di credenziali di accesso.
PHP è un linguaggio di programmazione che opera sui server, elaborando le richieste degli utenti e generando i contenuti dinamici delle pagine web. In altre parole, è una delle tecnologie che lavorano dietro le quinte e permettono a siti e applicazioni online di funzionare e interagire con gli utenti. La questione interessa quindi direttamente anche le aziende. PHP è utilizzato per realizzare portali, piattaforme di commercio elettronico e applicazioni aziendali. È inoltre alla base di sistemi di gestione dei contenuti molto diffusi, come WordPress, Drupal e Joomla.
La gravità della situazione ha portato anche l’Agenzia per la Cybersicurezza Nazionale (ACN) a richiedere interventi tempestivi, dopo aver rilevato un’elevata esposizione di servizi PHP in Italia.
Hypergrid è già intervenuta per mitigare le vulnerabilità PHP2Shell su tutti i propri servizi. L’azienda è inoltre a disposizione dei clienti per identificare eventuali esposizioni, valutare i rischi e fornire consulenza sulle misure più appropriate per gestire il problema.
Che cos’è PHP2Shell
PHP2Shell è il nome con cui vengono indicate due vulnerabilità critiche, classificate come CVE-2026-109618 e CVE-2026-109619, entrambe con un punteggio di gravità pari a 9,2 su 10. Le anomalie riguardano il funzionamento interno di PHP, in particolare la gestione della memoria e di alcuni processi utilizzati durante l’elaborazione delle richieste. Attraverso richieste HTTP appositamente costruite, un attaccante potrebbe sfruttare questi errori per provocare comportamenti imprevisti e, nelle condizioni individuate dai ricercatori, arrivare all’esecuzione di codice sul server.
Si parla in questo caso di Remote Code Execution (RCE), una delle categorie di vulnerabilità più pericolose perché può permettere a un soggetto non autorizzato di eseguire istruzioni sul sistema interessato. La particolarità di PHP2Shell è che il problema non nasce necessariamente da un sito sviluppato in modo scorretto o da un plugin non aggiornato. Le vulnerabilità interessano direttamente il motore PHP, cioè il software che interpreta ed esegue il codice delle applicazioni. Questo significa che anche un sito correttamente mantenuto può trovarsi esposto se l’ambiente PHP sottostante utilizza una versione vulnerabile.
L’allerta di ACN
La diffusione di PHP rende particolarmente importante comprendere quanto il problema possa interessare le infrastrutture digitali italiane. Nell’allerta pubblicata dal CSIRT Italia, l’ACN ha reso noti i risultati delle attività di monitoraggio dei servizi PHP esposti su Internet. Secondo i dati riportati, in Italia sono stati individuati 741.523 servizi PHP, dei quali 285.149 utilizzavano versioni potenzialmente vulnerabili. Il dato più significativo riguarda i 348.130 servizi per i quali è stato possibile identificare la versione PHP utilizzata: l’81,9% risultava potenzialmente vulnerabile a PHP2Shell.
È importante interpretare correttamente questi numeri. La percentuale non si riferisce alla totalità dei siti web italiani, ma soltanto ai servizi con versione identificata. Inoltre, l’utilizzo di una versione apparentemente vulnerabile non dimostra che il sistema sia effettivamente sfruttabile o già compromesso. Alcune installazioni potrebbero aver ricevuto correzioni di sicurezza distribuite dai rispettivi fornitori senza modificare il numero principale della versione. La rilevazione evidenzia comunque un problema rilevante: un numero elevato di servizi esposti necessita di verifiche per accertare l’effettiva applicazione degli aggiornamenti di sicurezza.
Dai tentativi di attacco alle possibili conseguenze
Le attività ostili associate a PHP2Shell non sono iniziate soltanto dopo la pubblicazione degli aggiornamenti. Amazon Threat Intelligence ha riferito di aver individuato un tentativo di sfruttamento risalente al 17 ottobre 2026, quattro giorni prima della divulgazione pubblica delle vulnerabilità.
Nei giorni successivi, diversi operatori di cybersecurity hanno osservato un aumento delle attività di scansione e dei tentativi di attacco. Per un’azienda, le conseguenze di un attacco riuscito potrebbero essere rilevanti. Un criminale informatico potrebbe ottenere accesso a informazioni riservate, modificare file e contenuti, compromettere database o utilizzare il server per ulteriori attività malevole. Nei casi più gravi, la compromissione potrebbe provocare l’interruzione di servizi digitali utilizzati da clienti, dipendenti e partner.
Il rischio riguarda quindi non soltanto il sito istituzionale, ma anche eventuali portali riservati, applicazioni gestionali accessibili via web, sistemi di commercio elettronico e servizi integrati nei processi aziendali. Per questo motivo, l’installazione delle correzioni deve essere accompagnata, quando necessario, da controlli sui registri di sicurezza, anche per individuare eventuali attività sospette precedenti alla pubblicazione delle vulnerabilità.
Come verificare se un sistema è vulnerabile
La prima attività consiste nell’individuare tutti i servizi aziendali che utilizzano PHP e verificare quali versioni siano effettivamente in esecuzione. Non sempre questa informazione è immediatamente disponibile. Un’azienda può affidare la gestione del proprio sito a un fornitore esterno, utilizzare servizi di hosting condiviso oppure disporre di applicazioni sviluppate nel tempo che dipendono da componenti software non aggiornati.
Per agevolare i controlli, il CERT-AGID ha segnalato due strumenti open source con caratteristiche differenti. Il primo è OpenAI PHP2Shell Checker, che permette di confrontare la versione PHP rilevata con quelle per cui sono disponibili aggiornamenti di sicurezza. Il controllo remoto analizza le informazioni dichiarate dal server, senza tentare di sfruttare le vulnerabilità.
Il secondo è Assetnote PHP2Shell Scanner, che effettua verifiche attive inviando richieste specifiche al server e analizzando eventuali comportamenti anomali. Proprio per la natura dei controlli, il suo utilizzo richiede particolari precauzioni, perché potrebbe interferire con il funzionamento dei servizi. Deve quindi essere impiegato esclusivamente su sistemi autorizzati, preferibilmente in ambienti di test o durante attività di manutenzione pianificate.
Esiste però un aspetto fondamentale da considerare: nessuno dei due strumenti può sostituire una verifica completa dell’infrastruttura. Un risultato negativo non garantisce automaticamente l’assenza delle vulnerabilità, così come l’impossibilità di identificare una versione PHP da remoto non significa che il server sia sicuro. Occorre accertare quale interprete PHP venga realmente utilizzato dall’applicazione e se siano state installate le correzioni di sicurezza, comprese quelle eventualmente distribuite dai fornitori.
Quali interventi sono necessari
Per correggere le vulnerabilità, il PHP Security Team ha rilasciato il 21 ottobre specifici aggiornamenti di sicurezza. Per le installazioni che utilizzano PHP 8.1 o versioni precedenti, non più supportate dal progetto PHP, è necessario verificare l’eventuale disponibilità di correzioni presso il fornitore della distribuzione oppure pianificare una migrazione verso una versione supportata.
Un punto merita particolare attenzione: aggiornare WordPress, Joomla, Drupal o i rispettivi plugin non significa aggiornare automaticamente PHP sul server. Sono componenti differenti, che richiedono verifiche e interventi specifici. L’applicazione degli aggiornamenti di sicurezza è la soluzione completa per le prime due vulnerabilità. Le misure temporanee, comprese le regole di protezione dei Web Application Firewall (WAF), possono contribuire a ridurre l’esposizione, ma non sostituiscono le patch.
Il 23 ottobre, il PHP Security Team ha segnalato anche una problematica distinta, identificata come CVE-2026-115560, relativa alla gestione delle sessioni PHP. Questa vulnerabilità presenta condizioni di sfruttamento più circoscritte e richiede una particolare combinazione di configurazione e comportamento dell’applicazione. Non interessa quindi automaticamente tutte le installazioni PHP.
Secondo le indicazioni pubblicate dal CERT-AGID, al 26 ottobre 2026 non risulta ancora disponibile una patch specifica. Gli aggiornamenti rilasciati per le prime due vulnerabilità non correggono questa terza problematica. In attesa della correzione, il PHP Security Team raccomanda, per i sistemi interessati, di disabilitare la funzionalità session.upload_progress.enabled, verificando preventivamente le esigenze applicative.
L’ACN raccomanda inoltre di dare priorità ai sistemi direttamente esposti su Internet, controllare l’efficacia delle protezioni adottate e analizzare eventuali segnali di compromissione. Quando non sia possibile aggiornare o applicare misure sufficientemente efficaci, può essere necessario valutare la sospensione temporanea dei servizi vulnerabili.
Gli interventi di Hypergrid e il supporto alle aziende
La gestione delle vulnerabilità PHP2Shell riguarda anche gli ambienti informatici delle aziende, comprese le applicazioni sviluppate internamente o affidate a fornitori esterni, per i quali possono essere necessarie verifiche specifiche. Hypergrid può supportare i propri clienti nell’identificazione delle vulnerabilità PHP2Shell e fornire consulenza tecnica sulla loro gestione, aiutandoli a individuare i sistemi potenzialmente interessati, valutare il livello di esposizione e definire gli interventi più appropriati.
Il caso PHP2Shell evidenzia un aspetto spesso sottovalutato nella gestione dei servizi digitali: la sicurezza di un sito o di un’applicazione non dipende esclusivamente dal software visibile all’utente, ma anche dalle tecnologie, dalle configurazioni e dai componenti dell’infrastruttura su cui viene eseguito.
Conoscere lo stato di sicurezza dei propri sistemi e intervenire tempestivamente quando emergono nuove vulnerabilità è fondamentale per ridurre i rischi e tutelare la continuità delle attività aziendali. Per verificare la possibile esposizione dei propri sistemi a PHP2Shell e ricevere consulenza sulle misure necessarie per gestire il problema, le aziende possono rivolgersi al team Hypergrid. Puoi chiamarci al numero +39 0382 528875, scriverci all’indirizzo info@hypergrid.it, visitare il nostro sito https://hypergrid.it, o più semplicemente, cliccare il pulsante qui sotto per prenotare un appuntamento online gratuito con il nostro team.
Devi effettuare l'accesso per postare un commento.