Il mondo dello sviluppo web ha ricevuto un avviso che nessun sistemista ama leggere: due vulnerabilità critiche nel motore PHP, il linguaggio server-side su cui si basano milioni di siti e applicazioni.
La notizia è stata ripresa il 21 ottobre da Il Sole 24 Ore Radiocor, che ha evidenziato i rischi per una parte significativa dell'ecosistema web.
Le vulnerabilità, identificate come CVE-2026-109618 e CVE-2026-109619, sono conosciute collettivamente come PHP2Shell e presentano entrambe un punteggio CVSS v4.0 di 9.2.
Non parliamo del solito plugin WordPress dimenticato da aggiornare.
Il problema riguarda direttamente il runtime PHP e, in determinate condizioni, può consentire una Remote Code Execution (RCE) senza autenticazione.
Traduzione: per chi non vive dentro una shell Linux, un attaccante potrebbe eseguire codice malevolo sul server sfruttando richieste HTTP appositamente costruite.
Una vulnerabilità seria, che richiede interventi tempestivi. Non panico.
PHP2Shell: memory corruption, PHP-FPM e codice eseguibile da remoto
Dal punto di vista tecnico, le due falle riguardano la gestione della memoria e dello stato interno delle richieste PHP.
- La prima coinvolge condizioni Out of Memory (OOM) e possibili corruzioni della memoria durante la pulizia delle risorse.
- La seconda riguarda il riutilizzo di uno stato interno non valido da parte dei processi PHP.
Sono potenzialmente interessate configurazioni basate su PHP-FPM, Apache mod_php, CGI e altri ambienti di esecuzione. Il rischio è particolarmente elevato nelle installazioni vulnerabili con mod_php, dove alcune condizioni di sfruttamento possono verificarsi prima dell'esecuzione del codice applicativo.
Il PHP Security Team ha pubblicato il 21 ottobre le versioni correttive:
| Branch PHP | Versione correttiva |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
La priorità è verificare la versione effettivamente installata e applicare le patch appropriate, comprese eventuali correzioni distribuite dal vendor del sistema operativo.
Un firewall o un WAF possono contribuire alla difesa, ma non sostituiscono l'aggiornamento del runtime vulnerabile.
Perché un hosting cloud condiviso e gestito può essere una scelta più sicura?
Possedere un server privato significa avere controllo sull'infrastruttura. Ma significa anche assumersi responsabilità precise.
Kernel e sistema operativo, patch management, configurazioni Apache o Nginx, permessi, isolamento dei processi, log analysis, monitoring e incident response.
Tutto deve essere mantenuto, verificato e aggiornato. Con un hosting cloud condiviso gestito, come Tophost, una parte significativa di queste attività infrastrutturali viene invece affidata a professionisti specializzati.
Il vantaggio non deriva semplicemente dalla parola cloud, ma dalla presenza di processi operativi, competenze sistemistiche e strumenti di monitoraggio. Un server dedicato correttamente amministrato può essere altrettanto sicuro. Il punto è evitare infrastrutture lasciate senza manutenzione.
Per molte PMI, agenzie web, professionisti e sviluppatori, l'hosting gestito rappresenta quindi una scelta razionale per ridurre complessità e rischio operativo.
Tophost: infrastruttura presidiata, protezione e continuità operativa
La sicurezza non è una funzione da attivare una volta e dimenticare.
È un processo continuo. Tophost si basa su un'infrastruttura cloud professionale, gestita con attenzione alla stabilità, al monitoraggio e alla continuità dei servizi. Il presidio sistemistico e la manutenzione infrastrutturale costituiscono elementi fondamentali di questo modello.
La gestione in mirroring dell'infrastruttura, dove prevista dall'architettura operativa, contribuisce alla ridondanza e alla disponibilità dei servizi.
È importante distinguere però mirroring, backup e sicurezza applicativa: la replica dei dati non impedisce la propagazione di una compromissione e non sostituisce copie di backup indipendenti.
Tophost mette inoltre a disposizione strumenti come il monitoraggio Google Safe Browsing, il controllo Quality of Service (QoS) e servizi opzionali quali Cloud Backup e Autofix, utili rispettivamente per il ripristino dei dati e il controllo di malware e vulnerabilità dei CMS.
Una strategia di sicurezza multilivello, nella quale ogni componente svolge un ruolo specifico.
PHP 8.2 va in pensione: il 31 dicembre 2026 termina il supporto
L'allarme PHP2Shell arriva mentre un'altra scadenza si avvicina.
Il 31 dicembre 2026 PHP 8.2 raggiungerà l'End of Life (EOL). Da gennaio 2027 non riceverà più le normali patch di sicurezza ufficiali del progetto PHP. Questo non significa che i siti smetteranno improvvisamente di funzionare. Significa che continuare a utilizzare PHP 8.2 diventerà progressivamente una scelta più rischiosa.
Tophost rende disponibili versioni PHP fino alla 8.4, consentendo ai clienti di pianificare la migrazione attraverso il pannello di controllo. La raccomandazione è verificare la compatibilità di WordPress, WooCommerce, Joomla, plugin, temi e librerie prima dell'upgrade. Meglio una migrazione pianificata oggi che un intervento d'emergenza domani.
Manutenzione regolare: la vera strategia di cybersecurity
Un'infrastruttura sicura richiede anche applicazioni mantenute correttamente.
Per questo consigliamo a developer e webmaster di adottare un ciclo di manutenzione basato su version inventory, vulnerability assessment, aggiornamenti programmati, backup verificati e test di compatibilità.
Per i siti WordPress è fondamentale mantenere aggiornati core, plugin e temi, rimuovere componenti inutilizzati, proteggere le credenziali e utilizzare autenticazione multifattore dove disponibile. Nei progetti più complessi è opportuno prevedere anche ambienti di staging, controlli sui log e procedure di rollback.
La sicurezza non è soltanto impedire un attacco: significa anche essere preparati a individuare un problema, contenerlo e ripristinare correttamente il servizio.
Tophost: la tranquillità di avere professionisti dalla tua parte
Le vulnerabilità PHP2Shell dimostrano quanto rapidamente possa cambiare lo scenario delle minacce informatiche. La risposta migliore non è avere paura della tecnologia, ma scegliere infrastrutture affidabili, mantenere aggiornato il software e condividere le responsabilità tecniche con professionisti competenti.
Ai nostri clienti vogliamo dire una cosa semplice: la sicurezza dei vostri progetti è una priorità. Con Tophost avete alle spalle un'infrastruttura professionale presidiata, strumenti di protezione e persone che lavorano per mantenere affidabili i servizi. Nessun sistema è invulnerabile, ma non siete soli ad affrontare le sfide della cybersecurity.
Tophost. Lo scegli per il prezzo, ci resti per la qualità!
Fonti:
Il Sole 24 Ore Radiocor — Allarme PHP2Shell, 21 ottobre 2026.
CERT-AGID — Analisi tecnica e versioni corrette.
ENISA — Comunicazione congiunta europea.
PHP.net — Ciclo di supporto ufficiale.
Tophost — PHP 8.2 ha una data di scadenza.
Pubblicato: | Aggiornamento: