Due vulnerabilità critiche di PHP — soprannominate php2shell — permettono a un attaccante non autenticato di eseguire codice arbitrario sul server. Il progetto PHP ha rilasciato le versioni corrette il 21 ottobre 2026 e tutte le autorità di sicurezza competenti concordano su un punto solo: aggiornare subito.
Cosa è successo e perché è urgente
Il 21 ottobre 2026 il progetto PHP ha pubblicato le versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35, che correggono due vulnerabilità con punteggio CVSS v4.0 di 9.2 (online era circolato per errore un punteggio di 10.0, ma resta una soglia critica).
Entrambe le vulnerabilità consentono Remote Code Execution (RCE) senza autenticazione, ovvero un attaccante esterno può prendere il controllo del server senza dover fornire credenziali né interagire con il codice dell'applicazione.
Il rilascio era inizialmente previsto per il 22 ottobre, ma è stato anticipato di un giorno dopo che i codici CVE erano già circolati online il 20 ottobre. Questo ha accelerato anche la pubblicazione di prove di attacco (PoC) da parte della comunità della sicurezza, come segnalato da CERT-EU nell'avviso 2026-018: la finestra tra divulgazione pubblica e sfruttamento attivo si è quindi drasticamente ridotta.
Al momento della pubblicazione, CISA non aveva osservato attacchi reali confermati, ma la presenza di PoC pubblici aumenta significativamente la probabilità che gli attaccanti stiano già testando bersagli.
Le due vulnerabilità nel dettaglio tecnico
CVE-2026-109618 — RCE via OOM corruption (GHSA-w8hw-w9fx-j79w)
Quando una richiesta HTTP raggiunge il limite di memoria (`memory_limit`) in un momento critico — ad esempio durante il caricamento di un file tramite un form — PHP può essere interrotto con i dati interni della richiesta inizializzati solo parzialmente. La successiva routine di pulizia tratta quei dati incompleti come validi, corrompendo la memoria in modo controllabile dall'attaccante.
Il vettore più pericoloso è mod_php su Apache: è stata dimostrata l'esecuzione di codice con una singola richiesta non autenticata, prima ancora che parta il codice dell'applicazione. Sono a rischio anche PHP-FPM, php-cgi, FrankenPHP e LiteSpeed.
Misure temporanee (riducono solo alcuni percorsi, non sostituiscono la patch):
Impostare `memory_limit=-1` a livello di pool FPM o configurazione Apache (`php_admin_value`), in modo che le applicazioni non possano modificarlo
Impostare `post_max_size` a 8 M (o 32 M se servono upload) con `upload_max_filesize` inferiore a `post_max_size`
Applicare limiti sul web server o sul proxy a monte: dimensione della richiesta, numero di campi, parti multipart, intestazioni, livello di annidamento
Non usare `RLIMIT_AS` o `RLIMIT_DATA` come sostituto
CVE-2026-109619 — RCE via stale global state (GHSA-6wmf-4rv5-p3rp)
Dopo un errore fatale, uno stato interno della richiesta può restare in vita anche se la sua memoria è già stata liberata. Una richiesta successiva gestita dallo stesso processo PHP può accedere a quella memoria liberata (use-after-free), con conseguente esecuzione di codice controllata dall'attaccante. Su PHP-FPM l'esecuzione di codice è stata confermata tramite percorsi del codice applicativo.
Misure temporanee:
`session.upload_progress.enabled=0` impostato in `php.ini`, nel pool FPM o nella configurazione del server (non con `ini_set()` o `.user.ini`)
Su PHP 8.5: aggiungere anche `fatal_error_backtraces=0`
Riavviare tutti i processi PHP dopo la modifica
Nascondere i messaggi con `error_reporting`, `display_errors` o `@` non offre protezione
Guida pratica per aziende e PMI
PHP è spesso un componente invisibile: alimenta CMS, portali e-commerce, gestionali web e molti software commerciali che non si presentano esplicitamente come "applicazioni PHP". CISA raccomanda di fare un inventario di tutti i sistemi che usano PHP, partendo da quelli esposti su internet.
Il centro nazionale di cybersicurezza olandese (NCSC-NL) ha pubblicato un elenco di prodotti commerciali e open source che incorporano PHP, consultabile al link in fondo all'articolo.
Lista di controllo per chi non gestisce direttamente i server:
Contattare il fornitore di hosting o il provider di servizi gestiti e chiedere conferma scritta che le versioni PHP in uso sono state aggiornate a 8.5.12, 8.4.27, 8.3.36 o 8.2.35
Chiedere esplicitamente la copertura di CVE-2026-109618 e CVE-2026-109619
Verificare con il fornitore del CMS, dell'e-commerce o del gestionale se è disponibile un aggiornamento compatibile
Se il fornitore non può aggiornare in tempi brevi, valutare con il team IT la messa offline temporanea delle applicazioni esposte su internet, come suggerito da CISA
Monitorare se processi PHP avviano shell o scaricano strumenti: è un segnale di compromissione già avvenuta
PHP 8.1 e versioni precedenti non ricevono aggiornamenti dal progetto PHP. Il team di sicurezza PHP ha pubblicato patch minime nel codice sorgente per PHP 7.4, 8.0 e 8.1, e alcune distribuzioni Linux e fornitori LTS offrono pacchetti aggiornati. Verificare con il proprio fornitore. PHP 8.2 raggiunge il fine vita il 31 dicembre 2026: pianificare la migrazione.
Guida operativa per chi gestisce i server
Verificare la versione attiva:
```bash
php -v
php-fpm8.x -v
```
Se si usano pacchetti di distribuzione, controllare con il gestore pacchetti (`apt`, `dnf`, `yum`) che siano disponibili gli aggiornamenti. Le distribuzioni Linux principali e i fornitori LTS hanno ricevuto le correzioni in anticipo rispetto al rilascio pubblico: il canale del proprio fornitore è il punto di partenza. Da notare che il repository volontario rpms.remirepo.net non aveva aggiornamenti il giorno del rilascio (21 ottobre 2026): non fare affidamento su canali non ufficiali come fonte primaria.
Sequenza consigliata di aggiornamento:
Eseguire un backup completo dell'ambiente (configurazioni, dati, sito)
Aggiornare PHP al minor patch più recente del branch in uso (8.5.12, 8.4.27, 8.3.36 o 8.2.35)
Riavviare il servizio PHP-FPM o il web server (`apache2`, `nginx` con proxy pass, `litespeed`)
Verificare la versione effettivamente caricata dal web server (non solo da CLI), ad esempio tramite `phpinfo()` in un file di test temporaneo da rimuovere subito
Applicare le misure temporanee in parallelo, non come alternativa alla patch
Se si usa un Web Application Firewall (WAF), CISA indica che può offrire protezione parziale: non è sufficiente da solo
Dal 11 settembre 2026, i produttori di prodotti hardware e software che rientrano nel perimetro del Cyber Resilience Act (Regolamento UE 2024/2847) sono tenuti a segnalare le vulnerabilità sfruttate attivamente tramite la piattaforma unica di segnalazione della Commissione europea. Verificare se la propria organizzazione ha obblighi di notifica.
La dichiarazione congiunta del 21 ottobre 2026 di Commissione europea (DG CNECT), ENISA, CERT-EU, Europol EC3 e rete dei CSIRT nazionali invita esplicitamente a coordinarsi con i fornitori di hosting e di servizi, e a dare priorità ai sistemi esposti su internet.
Takeaway e prossimi passi
Aggiornare subito a PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35 è l'unica soluzione completa: le misure temporanee riducono la superficie d'attacco ma non eliminano il rischio
Inventariare tutti i sistemi PHP, compresi i prodotti commerciali che lo usano internamente, e chiedere conferma scritta al fornitore di hosting o al provider gestito
Pianificare la migrazione da PHP 8.1 e precedenti (fine vita) e da PHP 8.2 (fine vita il 31 dicembre 2026) verso branch supportati
Hai bisogno di supporto per verificare l'esposizione dei tuoi sistemi o per coordinare l'aggiornamento con il tuo fornitore di hosting? **Contattaci per una consulenza gratuita** — il team TelcaVoIP è a disposizione per affiancarti nella valutazione della tua infrastruttura.