Vulnerabilità critiche PHP da 9.2 su 10: scatta l’allerta massima per i server web

Due gravissime falle di esecuzione remota di codice prive di autenticazione, classificate con un punteggio di gravità CVSS v4.0 pari a 9.2 su 10, hanno colpito il cuore dell’infrastruttura web mondiale. Il team della PHP Foundation ha risposto con il rilascio immediato delle versioni corrette 8.5.12, 8.4.27, 8.3.36 e 8.2.35 per neutralizzare la minaccia nota come PHP2Shell, mentre il team europeo di risposta alle emergenze informatiche (CERT-EU) raccomanda persino lo spegnimento temporaneo delle macchine che non possono essere aggiornate nell’immediato.

I dettagli tecnici delle due falle, registrate come CVE-2026-109618 e CVE-2026-109619, sono trapelati online prima della finestra programmata di embargo, innescando tentativi di sfruttamento prima che molti amministratori potessero applicare le correzioni. La situazione interessa una fetta colossale della rete: PHP muove circa il 69% dei portali web con linguaggio server-side noto, supportando architetture diffuse come WordPress, Magento, Drupal e WooCommerce.

Cosa prevede la minaccia PHP2Shell e perché il pericolo è reale

La sigla PHP2Shell raggruppa due criticità distinte ma unite dalla medesima conseguenza: permettere a soggetti non autorizzati di impartire comandi diretti alla macchina senza disporre di credenziali di accesso. L’aspetto più allarmante risiede nel fatto che un aggressore può colpire la componente sottostante prima ancora che entri in funzione il codice specifico dell’applicazione web.

Le due vulnerabilità critiche possono consentire l’esecuzione di codice remoto senza autenticazione ed è necessario aggiornare subito ogni installazione che serve richieste web.

Nello specifico delle anomalie individuate:

• CVE-2026-109618: una falla RCE dovuta a una corruzione di memoria generata a seguito di un esaurimento della stessa (OOM, out of memory).
• CVE-2026-109619: un’esecuzione di codice arbitrario causata dalla persistenza di uno stato globale all’interno della memoria al termine dell’elaborazione di una richiesta web.

Entrambi i percorsi sfruttano meccanismi profondi del motore, inclusi i moduli di gestione degli upload multipart e il monitoraggio dello stato di avanzamento dei file caricati.

Il falso mito: WordPress e i CMS non si aggiornano da soli contro questo rischio

Molti gestori di piattaforme digitali ritengono erroneamente che mantenere aggiornato il CMS o abilitare i plugin di difesa garantisca una barriera totale. Questa convinzione è fallace: le falle risiedono direttamente nell’interprete del linguaggio installato sul server, non nei file del tema o nei componenti aggiuntivi.

Gli aggiornamenti automatici delle piattaforme applicative non modificano la versione dell’interprete sul server host. Se lo strato di base rimane obsoleto, l’intera struttura resta esposta a intrusioni arbitrarie, furti di database e compromissione dell’integrità del sistema.

Dettaglio delle versioni e livello di rischio

Come mettere subito in sicurezza l’infrastruttura

Le segnalazioni confermano che i primi attacchi di prova sono già stati registrati su scala globale. Alcuni fornitori di sicurezza perimetrale hanno introdotto regole d’emergenza nei Web Application Firewall (WAF), ma queste misure rappresentano soltanto una barriera temporanea, inefficace se l’indirizzo IP originario del server risulta accessibile dall’esterno.

Per proteggere i sistemi in modo definitivo, è necessario procedere senza esitazione seguendo questi passaggi:

1. Verificare la versione in uso: interrogare l’ambiente server tramite terminale o pannello di hosting per verificare se la build attiva rientra tra quelle non protette.
2. Installare le nuove release: applicare tempestivamente le versioni 8.5.12, 8.4.27, 8.3.36 o 8.2.35 a seconda del ramo supportato dal software in produzione.
3. Limitare l’esposizione diretta: se il server si trova protetto da una rete di distribuzione o da un firewall esterno, configurare il server web (Nginx o Apache) affinché scarti qualunque connessione diretta che non provenga dagli IP autorizzati.
4. Isolare le macchine obsolete: in assenza di patch rapide o di un fornitore con supporto esteso per le versioni legacy, valutare la sospensione temporanea del servizio web fino al completamento della migrazione.

Le configurazioni basate su ambienti come PHP-FPM, php-cgi, LiteSpeed e FrankenPHP richiedono altrettanta cura nel riavvio dei servizi subito dopo l’installazione delle librerie sanate.

📱 Mantenere protetta la propria infrastruttura web richiede verifiche costanti sui componenti server.

🔒 Hai già verificato quale release di PHP è attiva sui tuoi ambienti di produzione?

👇 Lascia un commento qui sotto e condividi con noi quali misure di mitigazione hai implementato sui tuoi sistemi.