AnswersPublished24 sources
PHP2Shell: cosa cambia con le due falle critiche e come proteggersi
PHP2Shell indica due vulnerabilità critiche in PHP che possono consentire a un attaccante non autenticato di eseguire codice da remoto. Le versioni corrette sono PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35.
Pubblicato daModificato con GPT-6 LunaImmagini generate con GPT Image 2
Research answer
Key takeaways
- PHP2Shell indica due vulnerabilità critiche in PHP che possono consentire a un attaccante non autenticato di eseguire codice da remoto.
- Le versioni corrette sono PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Occorre censire le installazioni PHP e applicare al più presto una patch del fornitore o un aggiornamento ufficiale.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What is the full picture of the PHP2Shell security crisis as of October 21, 2026, including PHP’s prevalence across websites; the unauthenti. Article summary: As of October 21, 2026, PHP2Shell was an urgent patching crisis involving two unauthenticated remote-code-execution vulnerabilities, with emergency PHP updates released after premature disclosure and reports of attack at. Topic tags: general, general web, government. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake n
PHP2Shell è il nome dato a due vulnerabilità critiche nel codice con cui PHP gestisce le richieste: CVE-2026-109618 e CVE-2026-109619. Possono permettere a un attaccante non autenticato di eseguire codice su un server esposto. Il progetto PHP ha pubblicato aggiornamenti d’emergenza il 21 ottobre 2026, dopo che i dettagli erano diventati pubblici in anticipo rispetto alla divulgazione programmata. Le segnalazioni di tentativi di attacco, da sole, non dimostrano che i sistemi siano stati compromessi con successo. 4
6
15
Cosa fanno le vulnerabilità PHP2Shell
Le due falle riguardano PHP stesso, non una specifica applicazione o un singolo sito. Gli avvisi di sicurezza indicano come interessate le versioni PHP dalla 5.4 in poi e spiegano che richieste appositamente costruite possono innescare le vulnerabilità sui sistemi che elaborano traffico web. 8
14
Le cause tecniche sono diverse: CVE-2026-109618 riguarda una corruzione della memoria in condizioni di esaurimento della memoria; CVE-2026-109619 è legata a uno stato globale obsoleto. Entrambe hanno ricevuto un punteggio CVSS 4.0 di 9,2, classificato come Critico. 4
15
PHP è ampiamente utilizzato, ma le fonti disponibili non forniscono una percentuale affidabile di tutti i siti web interessati. Le stime possono basarsi su denominatori diversi: un dato generico sulla diffusione di PHP non equivale a un conteggio dei siti vulnerabili. Per chi amministra un’infrastruttura, la verifica decisiva è un’altra: stabilire se ci sono installazioni PHP che gestiscono richieste web e non sono state aggiornate. 3
14
Divulgazione, ricerca assistita dall’IA e aggiornamenti
Le vulnerabilità sono diventate pubbliche il 20 ottobre, un giorno prima degli aggiornamenti d’emergenza di PHP e in anticipo rispetto alla divulgazione inizialmente prevista per il 22 ottobre. 6
7
16
Nel resoconto della divulgazione, Cloudflare ha citato Calif, Wiz, OpenAI e Quarkslab. Le notizie pubblicate all’epoca hanno parlato di ricerca assistita dall’intelligenza artificiale da parte di Calif e di una scoperta e segnalazione indipendenti da parte di Wiz. Le fonti disponibili non chiariscono con precisione il contributo tecnico di ogni partecipante. 14
20
Gli aggiornamenti pubblicati il 21 ottobre correggono le falle nelle versioni PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. 15
16 Chi amministra i sistemi dovrebbe identificare le versioni di PHP in produzione e installare la release corretta oppure una correzione del fornitore verificata. Alcuni provider possono integrare la patch di sicurezza senza modificare la versione di base mostrata dal sistema: se il numero visualizzato sembra più vecchio, è opportuno consultare l’avviso del provider.
1
Cosa si sapeva dei tentativi di sfruttamento
Il 21 ottobre le notizie sulla sicurezza hanno segnalato tentativi di attacco contro le falle. Cloudflare ha dichiarato di aver osservato traffico ostile; SecurityWeek ha riferito che diverse società di cybersicurezza avevano rilevato tentativi prima della pubblicazione delle patch PHP. 14
15
Le informazioni disponibili non portavano però a una conclusione univoca su eventuali compromissioni riuscite. Un riepilogo successivo delle notizie del 21 ottobre riportava che, in quel momento, CISA e il Canadian Centre for Cyber Security non avevano osservato o identificato attività di sfruttamento, mentre alcune aziende di sicurezza segnalavano tentativi. Sono affermazioni diverse: una richiesta d’attacco non prova che un’intrusione sia riuscita; allo stesso tempo, il fatto che un’agenzia non abbia rilevato attività non dimostra che non ci siano state compromissioni. 25
Patch, inventario e difese temporanee
La NSA ha raccomandato alle organizzazioni di dare priorità alle patch dei fornitori e di censire hardware e servizi software che dipendono da versioni vulnerabili di PHP. 17 Anche CISA, secondo quanto riportato, ha sollecitato un aggiornamento immediato.
20 Se non è possibile correggere tempestivamente un servizio esposto, le indicazioni riportate suggerivano di scollegarlo temporaneamente, anziché lasciarlo accessibile.
7
21
Cloudflare ha dichiarato che, dalle 03:02 UTC del 21 ottobre, i clienti del suo WAF — il firewall per applicazioni web — sia gratuiti sia a pagamento disponevano per impostazione predefinita di una protezione contro PHP2Shell. 14 È una misura aggiuntiva, non un sostituto dell’aggiornamento di PHP: una regola di filtraggio non dimostra che il server sottostante sia stato messo in sicurezza.
14
17
L’incidente ha portato a verifiche anche al di fuori dei normali ambienti PHP. Help Net Security ha riferito che Palo Alto Networks considerava interessate tutte le versioni di PAN-OS e Panorama e che, al momento della notizia, non erano ancora disponibili correzioni. 33 Esposizione e misure di mitigazione dipendono dal prodotto: chi usa apparati o piattaforme gestite dovrebbe seguire l’avviso specifico del fornitore, senza presumere che aggiornare un pacchetto PHP risolva il problema anche su quei prodotti.
In breve: cosa fare
PHP2Shell va trattato come un problema urgente di aggiornamento: censire i servizi PHP, installare una versione corretta o una patch del fornitore verificata e ricorrere a isolamento o filtraggio solo come misure temporanee. Le notizie del 21 ottobre giustificano la preoccupazione per i tentativi di attacco, ma non permettono di considerare ogni tentativo una violazione confermata. 1
15
17
25
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell: cosa cambia con le due falle critiche e come proteggersi"?
PHP2Shell indica due vulnerabilità critiche in PHP che possono consentire a un attaccante non autenticato di eseguire codice da remoto.
What are the key points to validate first?
PHP2Shell indica due vulnerabilità critiche in PHP che possono consentire a un attaccante non autenticato di eseguire codice da remoto. Le versioni corrette sono PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Occorre censire le installazioni PHP e applicare al più presto una patch del fornitore o un aggiornamento ufficiale.
Sources
bleepingcomputer.comPHP ships emergency patches for critical PHP2Shell flaws
vulncheck.comPHP2Shell Vulnerabilities: CVE-2026-109618 and ...
securityweek.comPHP2Shell Patches Land as First Exploitation Attempts Hit Sensors
access.redhat.comRHSB-2026-013 Request handling memory corruption - php (CVE ...