Il 21 ottobre 2026 abbiamo aggiornato in tempo record tutti i nostri server che utilizzano PHP dalla versione 7.4 in avanti, intervenendo sulle vulnerabilità critiche conosciute come PHP2Shell. Un aggiornamento che riguarda ciò che lavora dietro le quinte di siti web, ecommerce e applicazioni aziendali: l’ambiente che ne esegue il codice.
Logo PHP di Colin Viebrock / PHP.net, CC BY-SA 4.0. Copertina con sfondo aggiunto, stessa licenza.
PHP2Shell: cosa è successo e perché l’allerta è importante
Il nome PHP2Shell identifica il caso di sicurezza legato a due vulnerabilità di PHP: CVE-2026-109618 e CVE-2026-109619. Entrambe sono classificate come critiche, con un punteggio CVSS 4.0 di 9,2 su 10. In condizioni vulnerabili possono consentire a un attaccante non autenticato di eseguire codice sul server.
Le due falle riguardano la gestione interna della memoria e dello stato delle richieste. La loro rilevanza non dipende dall’aspetto del sito o dalla presenza di una particolare pagina: il livello coinvolto è il motore PHP che elabora le richieste web. I dettagli e le condizioni di sfruttamento cambiano in base all’ambiente di esecuzione e all’applicazione.
Il progetto PHP ha pubblicato il proprio avviso di sicurezza il 21 ottobre 2026, invitando ad aggiornare con urgenza. Una notizia da affrontare sul piano operativo, perché aspettare il prossimo restyling del sito non risolve un problema del software che lo fa funzionare.
Perché riguarda WordPress, ecommerce e software aziendali
Quando si parla di sicurezza di un sito WordPress, spesso si pensa agli aggiornamenti di temi e plugin. Sono importanti, ma rappresentano solo una parte del sistema. Anche il linguaggio PHP, il web server e i componenti dell’ambiente di hosting richiedono manutenzione.
Lo stesso principio vale per gli ecommerce basati su PHP, per i portali riservati e per le applicazioni personalizzate. Un’azienda può avere un sito curato nei contenuti e nelle funzionalità, ma deve poter contare anche su una gestione tecnica dell’infrastruttura sottostante.
PHP2Shell ricorda proprio questo: aggiornare il CMS e aggiornare il server sono attività complementari. La correzione di una vulnerabilità del motore PHP va affrontata a quel livello; non basta installare una nuova versione di un plugin o cambiare la password del pannello di amministrazione.
Il nostro intervento del 21 ottobre: aggiornati tutti i server da PHP 7.4 in avanti
Abbiamo dato priorità a questa allerta e completato gli aggiornamenti su tutti i nostri server con PHP 7.4 e versioni successive il 21 ottobre. La risposta è stata rapida e ha coinvolto gli ambienti server interessati, oltre la manutenzione delle singole applicazioni.
Per chi ci affida l’hosting, il valore di questo intervento è concreto: una notizia tecnica viene presa in carico e tradotta in un’attività sull’ambiente che ospita il sito o il software. Il cliente non deve ricostruire da solo la differenza tra una vulnerabilità del CMS, di un’estensione e del linguaggio di esecuzione per capire a chi rivolgersi.
Gli aggiornamenti di sicurezza per PHP2Shell rientrano nella manutenzione dell’ambiente server. La gestione prosegue nel tempo, insieme alla cura dell’applicazione, della configurazione e dei componenti da cui dipende il servizio.
Quali correzioni sono state rese disponibili
Per i rami PHP supportati, le release correttive indicate nell’avviso del 21 ottobre sono 8.2.35, 8.3.36, 8.4.27 e 8.5.12. Distribuzioni e fornitori possono inoltre integrare le correzioni nei propri pacchetti, mantenendo una numerazione diversa da quella delle release originali.
Questo è un dettaglio importante quando si controlla un ambiente hosting: il solo numero mostrato in una schermata non sempre racconta quali patch contenga il pacchetto installato. La verifica deve tenere conto anche del canale da cui proviene il software e delle informazioni pubblicate dal relativo fornitore.
PHP 7.4 e vecchie versioni: una patch non riapre il supporto ordinario
La menzione di PHP 7.4 merita una precisazione. PHP 7.4 è fuori dal supporto ordinario del progetto PHP. Per questa emergenza sono stati messi a disposizione backport minimi delle correzioni anche per PHP 7.4, 8.0 e 8.1; alcuni fornitori prevedono inoltre propri percorsi di manutenzione estesa.
Applicare una correzione a una versione precedente non significa che quel ramo torni a ricevere tutti gli aggiornamenti ordinari. Per i siti e i software che dipendono da ambienti datati resta utile pianificare l’evoluzione verso versioni mantenute, verificando la compatibilità di codice, temi, moduli e integrazioni.
Hosting gestito e manutenzione: il lavoro che non si vede nella homepage
Un sito aziendale deve raccontare bene l’impresa, essere utilizzabile e aiutare le persone a trovare le informazioni. Per continuare a farlo nel tempo ha bisogno anche di attività meno visibili: aggiornamenti, cura delle dipendenze e attenzione alle segnalazioni di sicurezza.
È uno degli aspetti che danno valore a un servizio di hosting gestito, manutenzione e assistenza. Il rapporto con il fornitore tecnico prosegue dopo la messa online e permette di affrontare anche ciò che cambia nell’ambiente su cui il progetto si appoggia.
La stessa attenzione serve quando prendiamo in carico un sito già esistente o un software aziendale su misura: prima di decidere un intervento vanno distinti applicazione, componenti e infrastruttura. Sono livelli collegati, con responsabilità e necessità di aggiornamento diverse.
Hai un sito su un altro hosting?
Se il tuo sito utilizza PHP e viene ospitato presso un altro fornitore, chiedi conferma dell’applicazione delle correzioni relative a CVE-2026-109618 e CVE-2026-109619. Se utilizza un ramo datato, chiedi anche come viene gestita la manutenzione di quella versione e quali passaggi siano previsti per aggiornarla.
Non occorre trasformare questa verifica in una corsa al cambio di piattaforma: serve un quadro tecnico chiaro. Da Borgomanero affianchiamo imprese e professionisti nella gestione di siti, ecommerce e applicazioni, anche attraverso la valutazione di sistemi sviluppati da altri.
Fonti tecniche e approfondimenti
- PHP.net: avviso di sicurezza e aggiornamenti del 21 ottobre 2026.
- PHP: advisory CVE-2026-109618, gestione delle condizioni di memoria esaurita.
- PHP: advisory CVE-2026-109619, stato interno delle richieste.
Le fonti ufficiali possono essere aggiornate con nuove indicazioni: vanno consultate anche quando si valuta un intervento successivo alla pubblicazione di questa notizia.
