Due falle critiche di PHP, battezzate PHP2Shell, permettono di prendere il controllo di un server web senza password. Il 21 ottobre 2026 alle ore 16 (ora di Parigi) il progetto PHP ha pubblicato le versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35, che correggono questa falla PHP. In Svizzera, l'Ufficio federale della cibersicurezza (UFCS) raccomanda di installare subito questi aggiornamenti.

PHP è il linguaggio di programmazione che fa funzionare circa tre siti web su quattro, tra cui tutti i siti WordPress. La falla riguarda quindi tanto il sito di un comune quanto il negozio online di una PMI. In Francia, lo stesso giorno diversi siti pubblici sono stati messi offline per precauzione.

Che cosa permette la falla PHP2Shell?

Le due falle permettono a un aggressore di avviare i propri programmi sul server, senza credenziali. Sono registrate come CVE-2026-109618 e CVE-2026-109619 e valutate 9,2 su 10 sulla consueta scala di gravità. L'aggressore invia una richiesta trappola e l'attacco scatta ancora prima che il sito elabori la domanda.

L'avviso di sicurezza di php.net descrive due meccanismi distinti:

  • CVE-2026-109618: quando la memoria si esaurisce, PHP può interrompersi mentre i dati interni di una richiesta sono pronti solo in parte. La pulizia che segue può allora trattare questi dati non validi come validi.
  • CVE-2026-109619: uno stato interno legato a una richiesta può sopravvivere dopo la liberazione della sua memoria. Una richiesta successiva, elaborata dallo stesso processo, può riutilizzare questo stato scaduto.

Tutti i modi comuni di servire PHP sono colpiti: PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed. Il progetto PHP ritiene che il rischio più elevato riguardi mod_php. Afferma di disporre di un attacco dimostrato in cui basta una sola richiesta senza autenticazione.

Quale aggiornamento PHP installare?

L'unica protezione completa è l'aggiornamento di PHP alla versione corretta del proprio ramo. La tabella riassume la situazione descritta da php.net e da Journal du Coin.

Ramo installatoVersione da installareOsservazione
PHP 8.58.5.12Ramo supportato
PHP 8.48.4.27Ramo supportato
PHP 8.38.3.36Ramo supportato
PHP 8.28.2.35Fine degli aggiornamenti il 31 dicembre
PHP 8.1, 8.0 e 7.4Nessuna nuova versione ufficialeCorrettivi minimi pubblicati dal team di sicurezza di PHP, pacchetti dei distributori o migrazione

Le distribuzioni Linux e i fornitori di supporto a lungo termine hanno ricevuto i correttivi in anticipo. Su un server Linux spesso basta quindi installare il pacchetto aggiornato dal proprio distributore. Per PHP 8.1 e le versioni più vecchie il progetto non pubblica più aggiornamenti, ma ha fornito correttivi minimi per chi compila PHP da sé.

Chi non può aggiornare subito dispone di misure temporanee. Il progetto PHP precisa che riducono l'esposizione ad alcuni percorsi d'attacco, senza rendere sicura un'installazione:

  • disattivare il monitoraggio dei caricamenti (session.upload_progress.enabled=0), poi riavviare ogni processo PHP;
  • ridurre la dimensione massima dei dati inviati (post_max_size): 8M per un sito senza invio di file, 32M se gli invii sono necessari;
  • eliminare il limite di memoria controllabile da PHP (memory_limit=-1), in una configurazione che le applicazioni non possono modificare.

Perché in Francia sono stati spenti dei siti pubblici?

In Francia lo spegnimento è una decisione precauzionale, non la conseguenza di un'intrusione. Il Ministero dell'Interno ha messo in manutenzione «l'insieme dei suoi siti internet esposti» su richiesta dell'Agenzia nazionale per la sicurezza dei sistemi d'informazione (ANSSI). I siti della prefettura di polizia e di diverse prefetture, del Ministero dell'Economia, di Météo-France e di Les Echos mostravano un messaggio di manutenzione il 21 ottobre 2026. Nessuno di questi siti ha segnalato intrusioni.

Il motivo sta nella cronologia. Cloudflare, che filtra il traffico di gran parte del web, bloccava tentativi di attacco già dalle 5:02 (ora di Parigi), ossia nove ore prima della pubblicazione ufficiale. L'azienda ha anche visto gli aggressori modificare i loro metodi per aggirare le sue regole. L'embargo previsto per giovedì era saltato lunedì 19 ottobre 2026, dopo un messaggio sul forum Hacker News.

Altri Paesi europei hanno reagito allo stesso modo, secondo un rilevamento dell'agenzia Reuters citato da Journal du Coin. L'agenzia federale tedesca ITZBund ha disattivato diversi siti, la Finlandia ha spento i servizi web dello Stato e, nei Paesi Bassi, il porto di Rotterdam e il portale Overheid.nl erano offline.

Che cosa raccomanda l'Ufficio federale della cibersicurezza?

L'UFCS ha pubblicato un avviso il 21 ottobre 2026. Vi descrive due vulnerabilità critiche che potrebbero permettere di eseguire codice malevolo sui server interessati, senza autenticazione. L'ufficio raccomanda di aggiornare immediatamente i sistemi colpiti.

L'UFCS aggiunge un punto spesso dimenticato: oltre ai server web, occorre verificare le applicazioni e gli apparecchi che utilizzano PHP come componente integrato. L'ufficio riceve inoltre le segnalazioni volontarie di ciberincidenti da parte della popolazione, delle imprese e delle autorità. I gestori di infrastrutture critiche sono invece tenuti a segnalargli i loro ciberincidenti dal 1° aprile 2025.

Che cosa deve verificare una PMI o un comune presso il proprio provider di hosting

Per la maggior parte dei siti in hosting è il provider a gestire PHP e a dover applicare l'aggiornamento. Per cominciare basta una domanda: «Avete applicato il correttivo PHP2Shell?» La sicurezza del sito web passa poi da alcune verifiche concrete, tratte dalle raccomandazioni dell'UFCS e di php.net:

  • stilare l'elenco di tutte le installazioni PHP, comprese quelle nascoste in un software di terzi: strumento di statistiche, forum o vecchio sito dimenticato;
  • chiedere la versione installata e verificare che si tratti di 8.5.12, 8.4.27, 8.3.36 o 8.2.35;
  • per un sito ancora in PHP 8.1 o precedente, applicare le misure temporanee e pianificare una migrazione;
  • passare in rassegna le applicazioni e gli apparecchi che integrano PHP, come chiede l'UFCS;
  • sorvegliare i segnali di attacco: invii di file seguiti da errori 500 in serie, cookie PHPSESSID anormalmente grandi, processi PHP che si riavviano senza motivo.

Un sito protetto da Cloudflare beneficia delle regole di blocco, attive su tutti i suoi abbonamenti, compresi quelli gratuiti. Questo filtro non sostituisce l'aggiornamento, poiché gli aggressori stanno già adattando le loro richieste. Questi accorgimenti rientrano tra le misure semplici di cibersicurezza: inventario, aggiornamenti e sorveglianza.

Come un'intelligenza artificiale ha trovato la falla

I bug dormivano nel motore di PHP da oltre dieci anni, secondo Wiz Research, l'azienda di cibersicurezza all'origine della scoperta. Il suo team ha trovato la prima falla il 19 agosto con il proprio strumento Wiz Atlas e due modelli di IA, Gemini 4 Argon di Google e GPT-5.6 Sol di OpenAI. Il rapporto è stato trasmesso al progetto PHP il 24 agosto e la conferma di ricezione è arrivata il 21 settembre.

Wiz afferma che «un solo ricercatore ha svolto in una settimana» il lavoro di diversi mesi di un team di alto livello. Raluca Ada Popa, responsabile della sicurezza di Gemini presso Google DeepMind, sfuma: l'IA è servita anche a convalidare il correttivo e a costruire gli strumenti di rilevamento.

Che cosa non si sa ancora

  • Nessuna delle fonti consultate riferisce di uno sfruttamento riuscito in Svizzera, né di un sito svizzero messo offline.
  • Il numero di siti svizzeri ancora vulnerabili non è noto.
  • La portata degli attacchi resta poco chiara: Huntress non aveva visto alcuno sfruttamento reale la sera del 19 ottobre 2026, mentre Cloudflare ne osserva dalla mattina del 21 ottobre.
  • I tempi di ripristino dei siti spenti dipendono dal numero di server da trattare: qualche ora, talvolta giorni quando occorre testare applicazioni aziendali.

Fonti