Puoi avere un sito WordPress aggiornato, con plugin e tema all'ultima versione, e utilizzare comunque un PHP vulnerabile sul server. È il motivo per cui la scoperta di PHP2Shell, resa pubblica il 21 ottobre 2026, riguarda anche chi gestisce un normale sito aziendale, un e-commerce WooCommerce o un'applicazione web sviluppata in PHP.
Le due vulnerabilità critiche, identificate come CVE-2026-109618 e CVE-2026-109619, interessano il motore PHP, uno dei componenti fondamentali di moltissimi siti. In determinate condizioni possono consentire a un attaccante di eseguire codice sul server senza autenticarsi. Le correzioni sono già disponibili: adesso la priorità è verificare le versioni effettivamente in uso.
Che cos'è PHP2Shell e perché interessa anche la tua azienda
PHP è il linguaggio che permette a WordPress, WooCommerce e molte altre applicazioni di generare le pagine e gestire le funzionalità del sito. Di solito il visitatore non lo vede e chi amministra il sito potrebbe non accorgersi nemmeno della sua presenza.
PHP2Shell è il nome con cui sono diventate note due falle critiche nel funzionamento interno di PHP. Un loro sfruttamento riuscito potrebbe compromettere il server e i dati che ospita.
Questo non significa che ogni sito WordPress sia stato violato. Il rischio dipende dalla versione PHP utilizzata, dalla configurazione del server e dalle condizioni che rendono sfruttabile la vulnerabilità. Significa però che lasciare una versione vulnerabile online espone a un rischio evitabile.
Perché aggiornare WordPress non basta
Un equivoco frequente è pensare che gli aggiornamenti dalla bacheca WordPress comprendano anche tutto ciò che fa funzionare il sito.
In realtà ci sono livelli diversi:
- WordPress, temi e plugin vengono generalmente aggiornati dalla bacheca o attraverso strumenti di manutenzione.
- PHP viene gestito dall'ambiente di hosting, dal pannello del fornitore o dall'amministratore del server.
- Il server e gli altri servizi richiedono controlli e aggiornamenti specifici.
Di conseguenza, anche un WordPress aggiornato può continuare a utilizzare PHP 7.4, 8.0 o una versione 8.x precedente alle correzioni di sicurezza.
Questa distinzione vale anche per siti che non utilizzano WordPress: applicazioni personalizzate, altri CMS e piattaforme e-commerce basate su PHP devono essere verificate allo stesso modo.
Quali versioni di PHP correggono PHP2Shell
Il progetto PHP ha distribuito il 21 ottobre 2026 quattro aggiornamenti di sicurezza:
| Ramo PHP | Versione corretta |
|---|---|
| PHP 8.5 | 8.5.12 o successiva |
| PHP 8.4 | 8.4.27 o successiva |
| PHP 8.3 | 8.3.36 o successiva |
| PHP 8.2 | 8.2.35 o successiva |
Le versioni precedenti, all'interno di questi rami, sono vulnerabili se non hanno ricevuto una correzione specifica dal fornitore del sistema. Alcuni hosting e distributori Linux possono integrare patch di sicurezza senza modificare il numero principale della versione: per questo, quando PHP è gestito dal provider, è opportuno consultare anche i suoi avvisi ufficiali.
PHP 8.1 e le versioni precedenti sono fuori dal normale supporto del progetto PHP. Se il tuo sito usa ancora una di queste versioni, serve pianificare una migrazione a un ramo supportato, non soltanto attendere che il sito segnali un errore.
Le versioni corrette sono riportate nell'avviso ufficiale pubblicato da PHP.
Come controllare la versione PHP del tuo WordPress
Puoi effettuare una prima verifica direttamente dalla bacheca:
- accedi all'amministrazione WordPress;
- apri Strumenti → Salute del sito;
- seleziona Informazioni;
- espandi la sezione Server e individua Versione PHP.
Se non trovi la voce o non hai accesso alla bacheca, puoi chiedere al tuo hosting quale versione di PHP è effettivamente utilizzata dal sito e se sono state applicate le correzioni per PHP2Shell.
Per un'applicazione PHP diversa da WordPress, la verifica deve essere effettuata attraverso gli strumenti del provider o dall'amministratore dell'infrastruttura.
Aggiornare PHP subito, ma con le verifiche giuste
L'urgenza di correggere la vulnerabilità non significa che sia prudente cambiare versione alla cieca. Soprattutto nei siti meno recenti, un salto di versione PHP può mettere in evidenza incompatibilità con plugin, temi o codice personalizzato.
La procedura corretta prevede un backup completo, la verifica della compatibilità e l'applicazione di una versione corretta, seguita da controlli funzionali sulle pagine e sui servizi principali.
Per esempio, su un e-commerce è opportuno verificare il carrello e il checkout; su un sito aziendale, i moduli di contatto e le eventuali integrazioni; su un gestionale, i flussi di autenticazione e le funzioni operative più importanti.
Se utilizzi un hosting gestito, chiedi espressamente se la versione PHP del tuo sito è protetta dalle due vulnerabilità. Se il tuo sito gira su un server dedicato o VPS, la verifica deve riguardare anche i processi PHP realmente utilizzati per servire le pagine web.
Aggiornare PHP è la correzione essenziale per PHP2Shell. Aggiornare soltanto WordPress o installare un plugin di sicurezza non risolve queste vulnerabilità del motore PHP.
La manutenzione del sito comprende anche il server
Un sito può continuare a funzionare normalmente anche quando il software sottostante è obsoleto. Per questo la sicurezza non si misura soltanto dall'assenza di errori visibili.
La manutenzione periodica dovrebbe comprendere sia i componenti dell'applicazione sia il suo ambiente di esecuzione. Quando emerge una vulnerabilità critica, diventa importante sapere quali versioni sono installate, chi è responsabile degli aggiornamenti e come verificarne l'esito.
Se non conosci la versione PHP del tuo sito, oppure temi che un aggiornamento possa causare incompatibilità, PerseoDesign può verificare l'ambiente di hosting, valutare la compatibilità ed eseguire l'aggiornamento con i controlli necessari. Puoi richiedere una verifica attraverso la nostra pagina di supporto tecnico.
Per approfondire: l'analisi tecnica su F-Hack
Abbiamo pubblicato un approfondimento sulle vulnerabilità, il ruolo dell'intelligenza artificiale nella loro scoperta e le implicazioni per gli amministratori di server: PHP2Shell: due vulnerabilità critiche in PHP scoperte con l'AI, su F-Hack.