PHP2Shell: cosa è successo e cosa abbiamo fatto sui nostri server

Hai sentito parlare di PHP2Shell e non sai se i tuoi siti sono al sicuro? Ti raccontiamo cosa è successo, cosa abbiamo fatto noi, ora per ora, e cosa puoi controllare da solo.

Cosa è successo il 21 ottobre

Il 21 ottobre PHP ha corretto due falle nel suo nucleo, CVE-2026-109618 e CVE-2026-109619, chiamate PHP2Shell. Permettono di eseguire codice sul server da remoto, senza login. PHP le ha valutate 9,2 su 10; watchTowr, che le ha analizzate, arriva a 10.

Le versioni corrette sono uscite alle 15:50, ora italiana:

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

Per la 8.1 e le precedenti non c’è una release ufficiale: esistono solo correzioni del codice sorgente per 7.4, 8.0 e 8.1, che qualcuno deve compilare e installare.

Le ha trovate Wiz, con l’aiuto di modelli di intelligenza artificiale. Il giorno stesso alcuni servizi di Wikipedia e diversi siti governativi in Olanda e in Finlandia sono stati messi offline per precauzione.

Cosa abbiamo fatto noi, con gli orari

• 21 ottobre, 11:08. Imunify360, la suite di sicurezza dei nostri server Plesk, riceve per il suo firewall applicativo la regola che blocca la richiesta d’attacco nota. È una protezione in attesa della patch, non una correzione.
• 15:50. Escono le versioni corrette di PHP.
• Pochi minuti dopo. Sui server Plesk PHP si aggiorna da solo: le nostre licenze includono gli aggiornamenti automatici, e li teniamo accesi.
• Circa due ore dopo. Sulle VPS che gestiamo aggiorniamo PHP noi a mano, con il nostro aggiornatore: uno script che a ogni passo controlla backup, versioni e servizi.

Perché conta la velocità

Fra la pubblicazione di una patch e i primi tentativi di attacco passano ormai poche ore: per PHP2Shell i primi sono arrivati subito dopo l’annuncio. Chi attacca legge la correzione, capisce cosa è stato chiuso e prova sui server che non l’hanno ancora installata.

E trovare una falla costa sempre meno. Wiz racconta che il lavoro che richiedeva mesi a una squadra l’ha fatto un ricercatore, con l’AI, in una settimana. Se il tempo per trovare si accorcia, deve accorciarsi anche quello per aggiornare.

I siti su PHP vecchio

Se un sito gira su PHP 7.4, 8.0 o 8.1, oggi non c’è un pacchetto ufficiale da installare. Il firewall applicativo blocca la richiesta d’attacco nota, ma le varianti non le conosce nessuno in anticipo. L’unico rimedio completo è passare a una versione supportata, dalla 8.2 in su.

Lo sappiamo che non è sempre semplice: un plugin abbandonato, un tema scritto anni fa, un gestionale che nessuno vuole toccare. Proprio per questo conviene farlo adesso, con calma, invece che alla prossima falla.

Come controlli il tuo sito

1. La versione di PHP del sito. In Plesk la trovi nelle impostazioni PHP del dominio. In WordPress vai in Strumenti → Salute del sito → Informazioni → Server.
2. Il numero dopo il secondo punto. Una 8.3 deve essere almeno 8.3.36, una 8.4 almeno 8.4.27, e così via con l’elenco qui sopra.
3. Se hai un accesso SSH, php -v ti dà la versione della riga di comando. Il sito può usarne un’altra, quindi controlla anche il punto 1.
4. WordPress, temi e plugin aggiornati. La falla è in PHP, ma un sito vecchio di solito ha più di una porta aperta.

Se il tuo hosting non ti ha detto niente

Chiediglielo. Le domande sono tre:

• quando avete aggiornato PHP, e su quali versioni?
• cosa fate per i siti su PHP 8.1 o precedenti?
• c’è un firewall applicativo con le regole aggiornate al 21 ottobre?

Se la risposta arriva dopo giorni, o non arriva, hai già la risposta.

E tu hai già aggiornato PHP sui tuoi server? Se ti serve una mano, scrivici: lo controlliamo insieme, senza impegno. Oppure scegli un hosting come il nostro, dove gli aggiornamenti li facciamo noi.

Per approfondire:

• Hosting su misura
• PHP 8.5: tutte le novità e cosa cambia davvero