Steven Lafortune
David GrandolfoIl 21 ottobre 2026 il progetto PHP ha pubblicato aggiornamenti di emergenza per due vulnerabilità critiche, riunite sotto il nome PHP2Shell. Possono permettere a chi non ha effettuato l’accesso di eseguire codice su un server che usa PHP per rispondere alle richieste web. Wiz Research, che ha segnalato le falle insieme a Calif e OpenAI, stima che PHP alimenti circa il 70 % dei siti web, tra cui WordPress, Joomla, Drupal e MediaWiki.
David Grandolfo, coordinatore della sicurezza difensiva, ha un messaggio diretto per i clienti Devolutions: i nostri prodotti SaaS non sono colpiti da PHP2Shell.
Capiamo che le notizie sulle vulnerabilità critiche possono destare preoccupazione, soprattutto quando riguardano tecnologie usate da milioni di siti web nel mondo. Abbiamo però una buona notizia per i clienti Devolutions: i nostri prodotti e servizi non sono colpiti da PHP2Shell.
Il motivo è semplice: non usiamo PHP nei nostri prodotti né nella nostra infrastruttura, quindi queste vulnerabilità specifiche non hanno effetto sulle soluzioni Devolutions.
Il nostro team di sicurezza monitora in modo continuo le minacce emergenti e ne valuta il possibile impatto sui nostri prodotti e servizi. In questo caso i clienti possono stare tranquilli: non servono aggiornamenti aggiuntivi, modifiche di configurazione o azioni da parte loro per affrontare PHP2Shell.
Le organizzazioni che usano PHP devono applicare gli aggiornamenti di sicurezza disponibili il prima possibile. I clienti Devolutions possono continuare a usare le nostre soluzioni con fiducia.
Che cos’è PHP2Shell
Le due falle sono CVE-2026-109618 e CVE-2026-109619. L’avviso di sicurezza PHP dice che entrambe possono consentire l’esecuzione di codice da remoto senza autenticazione. Riguardano le installazioni PHP che servono richieste web, tra cui PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed. Il team di sicurezza PHP indica che il rischio è più alto per mod_php, dove una richiesta può raggiungere la falla prima che venga eseguito il codice dell’applicazione del sito.
Google Cloud descrive il punteggio base CVSS ufficiale come 9,2 (critico) per ciascuna falla e indica le versioni interessate da PHP 5.4 a 8.5.11. Wiz riporta lo stesso intervallo: quasi ogni versione di PHP dell’ultimo decennio è interessata da almeno uno dei problemi. I bug sono nel motore PHP, quindi un’applicazione accurata su un runtime non aggiornato resta esposta. Wiz aggiunge che il codice vulnerabile era in PHP da più di un decennio e che gli strumenti di IA hanno reso pratico dimostrare i bug e contribuire a correggerli.
BleepingComputer riferisce che Cloudflare vedeva già i primi tentativi di attacco mentre uscivano le patch, e che un filtro temporaneo non sostituisce l’aggiornamento. Lo stesso articolo riporta un avviso del National Cyber Security Centre del Regno Unito: aggiornare i sistemi che usano PHP, oppure metterli offline finché non possono essere corretti.
Cosa installare
Il progetto PHP dice che non esistono mitigazioni complete. L’aggiornamento è l’unica scelta sicura. Installi una di queste versioni:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Le distribuzioni Linux e i fornitori di supporto a lungo termine hanno ricevuto le patch prima della pubblicazione pubblica, quindi verifichi dal suo fornitore se ci sono pacchetti aggiornati. PHP 8.1 e le versioni precedenti non ricevono più aggiornamenti dal progetto PHP. Alcuni fornitori stanno riportando le correzioni sulle versioni precedenti. Se usa quelle versioni, contatti il suo fornitore oppure passi a una versione supportata. Per chi compila dal codice sorgente, il team di sicurezza PHP ha pubblicato anche backport minimi del codice sorgente per PHP 7.4, PHP 8.0 e PHP 8.1.
L’avviso descrive alcune misure temporanee per i team che non possono aggiornare oggi. PHP è esplicito: quelle misure non rendono sicura un’installazione.
Se gestisce PHP in proprio
I prodotti e i servizi Devolutions non usano PHP, quindi da quel lato non cambia nulla. Questo avviso non copre un sito PHP che Lei gestisce: un sito web pubblico, una intranet o un sistema di gestione dei contenuti. Se rientra nel suo ambiente, lo tratti come un lavoro a parte e aggiorni PHP a una versione dell’elenco qui sopra.