Aggiorna PHP subito: le falle php2shell colpiscono tutte le versioni sotto la 8.2.35

Il 21 ottobre 2026 il team di PHP ha pubblicato aggiornamenti di sicurezza urgenti per correggere due falle molto gravi, soprannominate «php2shell». Se il tuo sito gira su PHP, è il momento di controllare quale versione usa il tuo hosting: con una versione precedente alla 8.2.35 il sito è esposto.

Cosa è successo

Sono state corrette due vulnerabilità, CVE-2026-109618 e CVE-2026-109619, entrambe valutate 9,2 su 10 (critico). Sono sfruttabili da remoto, senza password e senza alcun accesso al sito, e possono portare all'esecuzione di codice sul server con i permessi del servizio web. In pratica: un attaccante potrebbe prendere il controllo del sito.

• CVE-2026-109619: un errore di gestione della memoria che può sfruttare lo stato rimasto da una richiesta precedente.
• CVE-2026-109618: un errore che si innesca quando una richiesta supera il limite di memoria (memory_limit), sfruttabile con richieste «multipart» costruite ad arte.

Le fonti consultate non concordano su tutto: al 21 ottobre non risultavano exploit pubblici, ma alcune segnalazioni parlano di primi tentativi di attacco poche ore dopo il rilascio. Conviene considerare il rischio come reale e non rimandare.

Quali versioni di PHP sono sicure

Le versioni corrette sono 8.2.35, 8.3.36, 8.4.27 e 8.5.12.

• PHP 8.1, 8.0, 7.4 e precedenti: sono a fine vita e non riceveranno una versione ufficiale corretta. Vanno aggiornate, non c'è un'alternativa.
• PHP 8.2: è sicuro solo dalla 8.2.35 in poi (il numero dopo il secondo punto è la «patch»). Attenzione: il supporto di 8.2 termina il 31 dicembre 2026, quindi è un ripiego di pochi mesi.
• PHP 8.3, 8.4, 8.5: sicuri con la patch indicata sopra. Se puoi scegliere, 8.3 o 8.4 sono le scelte più sensate: restano supportate più a lungo.

Come controllare la tua versione

1. Dal pannello del tuo hosting (Plesk, cPanel o simili) cerca la voce «Impostazioni PHP» o «Versione PHP» del dominio.
2. Oppure chiedi allo sviluppatore o all'hosting quale versione, con quale patch, è attiva. La sola indicazione «8.2» non basta: serve 8.2.35 o superiore.

Cosa fare, in ordine

• Se sei sotto la 8.1: porta il sito almeno a 8.2 con la patch 8.2.35, meglio a 8.3 o 8.4. Prima fai un backup completo e prova il sito in una copia di test: i vecchi plugin, temi o gestionali scritti per PHP 7 possono dare errori con le versioni nuove.
• Se sei già su 8.2, 8.3 o 8.4: verifica che l'hosting abbia installato la patch (8.2.35, 8.3.36, 8.4.27). Se non l'ha fatto, chiedi che venga applicata.
• Se l'hosting non offre ancora la versione corretta: scrivi al supporto e, nel frattempo, valuta le misure temporanee suggerite dagli esperti, per esempio disattivare session.upload_progress se non lo usi e limitare la dimensione delle richieste. Sono solo tamponi: l'unica soluzione completa è l'aggiornamento.
• Dopo l'aggiornamento: controlla le pagine principali, i moduli di contatto, il carrello e il pannello di amministrazione, e verifica il registro degli errori.

Perché non rimandare

Un sito compromesso non significa solo pagine rotte: può voler dire furto di dati dei clienti, spam inviato dal tuo dominio, avvisi di «sito pericoloso» nei risultati di Google e un calo di posizionamento difficile da recuperare. Aggiornare PHP costa poche ore di lavoro, riprendersi da un attacco molto di più.

Fonti consultate

• HeroDevs: php2shell, CVE-2026-109618 e CVE-2026-109619
• PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35: corretti due RCE critici

Non sai quale versione di PHP usa il tuo sito, o hai paura che l'aggiornamento lo rompa? Scrivimi: controllo la versione, preparo il backup e faccio l'aggiornamento in sicurezza.