Mercoledì 21 ottobre 2026 il team di sicurezza di PHP ha reso pubbliche due vulnerabilità gravissime, ribattezzate php2shell. Entro due ore dalla divulgazione, tutti i server che gestiamo per i nostri clienti erano già aggiornati e protetti, o con l'aggiornamento in corso.
Cosa è successo
PHP è il linguaggio su cui gira la grande maggioranza dei siti web e degli e-commerce: negozi online, siti aziendali, gestionali, portali. Il 21 ottobre 2026 sono state corrette due falle, CVE-2026-109618 e CVE-2026-109619, entrambe con gravità 9,2 su 10.
Il motivo di tanta gravità è semplice: su un server con PHP non aggiornato, un attaccante potrebbe riuscire a eseguire codice senza alcun accesso, senza password, senza essere cliente del negozio. In pratica, prendere il controllo del sito. Le versioni corrette sono PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35.
Cosa abbiamo fatto
Quando una vulnerabilità di questo tipo diventa pubblica, inizia una corsa: da quel momento i programmi automatici di chi attacca cominciano a cercare i server ancora esposti. Ogni ora conta.
Per questo siamo intervenuti subito, senza attendere la normale finestra di manutenzione. Entro due ore dalla divulgazione tutti i server che gestiamo erano già aggiornati e protetti, o con l'aggiornamento di PHP in corso. A ogni aggiornamento abbiamo verificato subito che siti ed e-commerce funzionassero regolarmente. I nostri clienti non hanno dovuto chiederci niente.
La sicurezza non si misura nei giorni tranquilli, ma nelle ore che passano tra l'allarme e la correzione.
Non è stato un caso
Un intervento così rapido è possibile solo se il lavoro di tutti i giorni è già fatto bene. Sui server dei nostri clienti:
- seguiamo in modo continuo gli avvisi di sicurezza dei software che usiamo;
- teniamo i sistemi irrobustiti, con i diritti di ogni utente e servizio ridotti al minimo indispensabile;
- accediamo solo attraverso una rete privata cifrata, con chiavi personali ruotate periodicamente;
- proteggiamo il perimetro con firewall, limiti alle richieste e blocco automatico degli indirizzi ostili;
- ogni notte facciamo analizzare i comportamenti su tutte le superfici di attacco;
- sorvegliamo senza sosta processore, memoria, disco e servizi, con allarmi immediati;
- conserviamo copie di sicurezza cifrate fuori dai server.
È il lavoro che descriviamo nella nostra pagina dedicata alla cybersecurity a Messina, e che facciamo per ogni sito ed e-commerce che seguiamo.
Cosa fare se il vostro sito non lo gestiamo noi
Chiedete a chi gestisce il vostro hosting o il vostro server due cose: se PHP è stato aggiornato a una delle versioni corrette, e quando. Se la risposta non è chiara, o se l'aggiornamento non è ancora stato fatto, trattate il sistema come esposto e fatelo verificare al più presto. Se volete, possiamo farlo noi: scriveteci.
Domande frequenti
Cos'è php2shell?
È il nome dato a due vulnerabilità di PHP (CVE-2026-109618 e CVE-2026-109619) corrette dal team di sicurezza di PHP il 21 ottobre 2026, entrambe con gravità 9,2 su 10. Su un server con PHP non aggiornato possono permettere a un attaccante di eseguire codice senza alcun accesso.
Il mio sito è a rischio?
Se il sito o l'e-commerce gira su PHP, come la grande maggioranza dei siti, e la versione di PHP non è stata aggiornata dopo il 21 ottobre 2026, sì. Le versioni corrette sono PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35.
Cosa devo fare?
Chiedete a chi gestisce il vostro hosting o il vostro server se PHP è stato aggiornato a una versione corretta, e quando. Se non ricevete una risposta chiara, trattate il sistema come esposto e fatelo verificare.