PHP: grave falla RCE php2shell (CVE-2026-109618). Ecco come abbiamo già protetto i nostri server

Il 20 ottobre sono trapelati online i dettagli di due vulnerabilità critiche nel cuore di PHP, il linguaggio su cui girano WordPress, PrestaShop, Joomla e la grande maggioranza dei siti web. Soprannominate “php2shell” (identificativi CVE-2026-109618 e CVE-2026-109619), permettono a un attaccante di eseguire codice sul server senza alcuna password. In questo articolo spieghiamo di cosa si tratta e cosa abbiamo già fatto per proteggere i siti e i servizi dei nostri clienti.

Cos’è la vulnerabilità “php2shell”

Si tratta di due falle di tipo RCE (Remote Code Execution) nel modo in cui PHP elabora le richieste di tipo multipart/form-data, quelle usate per inviare moduli e caricare file. Il problema è che PHP legge e interpreta queste richieste prima ancora che il sito entri in gioco: per questo la vulnerabilità non dipende da WordPress, da un plugin o da un tema, ma colpisce direttamente il motore PHP.

Il team di PHP ha classificato entrambe le falle come critiche (punteggio CVSS 9.2 su 10). Il problema più serio è che i dettagli sono diventati pubblici prima che la correzione fosse disponibile, insieme a uno strumento di attacco già pronto: i primi tentativi di sfruttamento sono stati osservati già nella mattinata del 21 ottobre.

Quali versioni sono colpite

• Vulnerabili: tutte le versioni di PHP dalla 5.4 in poi, comprese le più recenti
• Correzione ufficiale: il team di PHP pubblica gli aggiornamenti il 21 ottobre alle 16:00 (ora italiana) solo per i rami ancora supportati: 8.2, 8.3, 8.4 e 8.5
• Versioni fuori supporto (8.1, 8.0, 7.x, 5.x): non riceveranno una correzione ufficiale da parte di PHP

Cosa abbiamo già fatto noi di LimeNetwork

Non abbiamo aspettato la patch. Appena confermata la gravità della falla, abbiamo censito tutte le versioni di PHP in uso sulla nostra infrastruttura e applicato subito le contromisure raccomandate dagli esperti di sicurezza su tutti i server che gestiamo.

Sui server di hosting condiviso

• ✅ Disattivato il meccanismo session.upload_progress, uno dei punti d’ingresso usati dall’attacco, su tutte le versioni di PHP installate, comprese quelle selezionabili dai clienti tramite PHP Selector
• ✅ Attivata la modalità session.use_strict_mode, che impedisce l’uso di identificativi di sessione non generati dal server
• ✅ Riavvio controllato dei motori PHP per rendere effettive le modifiche, senza interruzioni del servizio, e verifica del corretto funzionamento dei siti
• ✅ Protezione perimetrale attiva con Imunify360 e firewall applicativo ModSecurity, che ricevono aggiornamenti continui delle regole di difesa

Sui servizi Managed (VPS, server dedicati gestiti, Plesk e DirectAdmin)

• ✅ Stesse contromisure applicate su tutti i server gestiti, per ogni versione di PHP installata
• ✅ Verifica server per server che le nuove impostazioni siano effettive e che i siti rispondano regolarmente

Il prossimo passo: l’aggiornamento di PHP

Le contromisure riducono drasticamente l’esposizione, ma la soluzione definitiva è l’aggiornamento di PHP. Per questo:

• sui server senza pannello di controllo installeremo gli aggiornamenti appena pubblicati da PHP e dalle distribuzioni Linux;
• sui server con pannello (cPanel con CloudLinux, Plesk, DirectAdmin) installeremo le versioni corrette non appena i produttori le rilasceranno, in modo da non compromettere la stabilità dei pannelli.

In pratica: se il tuo sito o il tuo server è gestito da noi, non devi fare nulla. Ci occupiamo noi di tutto e aggiorneremo questo articolo man mano che completiamo gli interventi.

Il tuo sito usa una versione di PHP vecchia?

Le versioni di PHP precedenti alla 8.2 sono fuori supporto e non riceveranno la correzione ufficiale. Questa è l’occasione giusta per passare a una versione moderna: oltre alla sicurezza, PHP 8.2 e successivi sono anche più veloci. Se vuoi verificare la compatibilità del tuo sito prima del passaggio, apri un ticket: ce ne occupiamo noi.

Hai un server non gestito o un sito ospitato altrove?

Se amministri in autonomia un server con PHP, ti consigliamo di:

1. impostare subito nel php.ini (per ogni versione installata) session.upload_progress.enabled = 0 e session.use_strict_mode = 1, quindi riavviare PHP-FPM o il web server;
2. installare l’aggiornamento di PHP appena disponibile per la tua distribuzione o il tuo pannello;
3. dopo l’aggiornamento, riavviare PHP-FPM, LiteSpeed o Apache: finché i vecchi processi restano attivi, il server resta vulnerabile anche con il pacchetto nuovo installato.

La sicurezza dei siti che ospitiamo è la nostra priorità: monitoriamo costantemente le nuove vulnerabilità e interveniamo prima che possano diventare un problema per i nostri clienti. Per qualsiasi dubbio, il nostro supporto è a tua disposizione.