In breve: la vulnerabilità PHP spiegata in modo semplice: PHP è il software sul server web che compone i siti nel momento in cui qualcuno li richiama. Con PHP2Shell, in determinati casi eccezionali PHP non fa pulizia correttamente, ed è proprio questo che gli aggressori possono sfruttare per eseguire propri comandi sul server senza password. Il rimedio è un aggiornamento di PHP con successivo riavvio, che di norma installa il Suo hoster o fornitore di servizi.
Perché proprio ora tutti parlano di PHP
Nelle notizie si parlava di una «vulnerabilità critica», le autorità hanno portato offline dei siti, il BSI (l'Ufficio federale tedesco per la sicurezza informatica) ha avvisato con il livello arancione. Per molti titolari e collaboratori suona minaccioso e insieme incomprensibile. Che cos'è PHP, e perché riguarda proprio il sito della propria azienda?
Questo articolo spiega la situazione senza gergo tecnico. Chi poi desidera approfondire trova l'inquadramento tecnico in Che cos'è PHP2Shell?.
Che cosa fa in realtà PHP: un'immagine dalla vita quotidiana
Immagini il Suo sito come un ristorante. L'ospite è il visitatore, l'ordinazione è la richiesta della pagina. PHP è la cucina: riceve ogni ordinazione, prende gli ingredienti dalla dispensa, cioè dal database, e prepara il piatto, cioè la pagina finita.
Perché sia veloce, la cucina ha più cuochi che evadono uno dopo l'altro molte ordinazioni. Gli esperti li chiamano «worker». Dopo ogni ordinazione il posto di lavoro dovrebbe essere riordinato del tutto, prima che arrivi la successiva.
Su PHP girano moltissimi sistemi noti: WordPress, Shopware, TYPO3, Joomla, Nextcloud e innumerevoli sviluppi su misura. Come funziona PHP in linea di principio lo spiega l'articolo Che cos'è PHP?.
La vulnerabilità PHP spiegata in modo semplice: cosa non va con PHP2Shell
PHP2Shell consiste in due errori. Entrambi hanno a che fare con il riordino, ed entrambi si verificano solo in situazioni eccezionali.
Il primo errore (CVE-2026-109618): a volte alla cucina, nel mezzo della preparazione, manca lo spazio. Gli esperti dicono «Out of Memory», la memoria è piena. Allora il lavoro viene interrotto mentre l'ordinazione è preparata solo a metà. Nel successivo riordino PHP ritiene per errore finite cose incomplete.
Il secondo errore (CVE-2026-109619): dopo un'ordinazione resta sul posto di lavoro qualcosa che in realtà avrebbe già dovuto essere tolto. L'ordinazione successiva dello stesso cuoco può accedervi prima che venga rimosso.
In entrambi i casi vale: chi sa esattamente come provocare questa situazione eccezionale può indurre la cucina a fare cose che nessuno ha ordinato. Nel peggiore dei casi prende il controllo del server. Una password per questo non gli serve. Come una richiesta venga elaborata in PHP passo dopo passo lo descrive l'articolo sul ciclo di vita della richiesta.
Non deve capire la tecnica per agire correttamente. Decisiva è un'unica domanda al Suo hoster o fornitore di servizi: PHP sul nostro server è aggiornato e riavviato, e potete confermarlo per iscritto?
I termini più importanti a colpo d'occhio
| Termine | Spiegato in modo semplice |
|---|---|
| PHP | software sul server che compone le pagine web quando vengono richiamate |
| Vulnerabilità di sicurezza | un errore che degli estranei possono sfruttare |
| Numero CVE | numero identificativo, univoco in tutto il mondo, di una vulnerabilità |
| CVSS 9,2 | gravità su una scala fino a 10; 9,2 è considerato critico |
| Remote Code Execution | degli estranei possono eseguire da remoto propri comandi sul server |
| Shell | riga di comando con cui si può controllare un server |
| Patch | aggiornamento che corregge l'errore |
| Backport | correzione inserita in una versione più vecchia senza cambiare il numero di versione |
| Riavvio | terminare i vecchi processi PHP, perché la versione corretta lavori davvero |
Perché aggiornamento, riavvio e verifica vanno insieme
Restiamo al ristorante. L'aggiornamento è una nuova istruzione di lavoro per la cucina: da ora si riordina così. Solo che i cuochi che sono di turno continuano a lavorare con la vecchia istruzione. Solo quando il turno cambia vale la nuova. È proprio questo il riavvio: tutti i vecchi processi PHP vengono terminati, quelli nuovi partono con la versione corretta. Senza riavvio l'aggiornamento è sul server, ma non ha effetto.
E l'immagine mostra anche un'altra cosa. Una nuova istruzione di lavoro impedisce incidenti futuri, ma non dice nulla sul fatto che nei giorni precedenti qualcuno sia stato in cucina senza essere notato e vi abbia nascosto qualcosa. Perciò dopo l'aggiornamento serve una verifica delle tracce, soprattutto se il server è stato raggiungibile nel periodo tra il 17 ottobre e l'aggiornamento.
Cosa dovrebbe fare adesso: tre situazioni tipiche di partenza
Cosa fare dipende da dove si trova il Suo sito.
- Il Suo sito è presso un hoster (shared hosting). L'hoster di norma installa l'aggiornamento di PHP. Il Suo compito: ottenere una conferma scritta e verificare nel menu clienti se è impostata una versione di PHP attuale. Che cos'altro è compito Suo lo trova in Shared hosting: cosa fa l'hoster e cosa deve fare Lei.
- Un'agenzia o un fornitore IT gestisce il Suo sito. Chieda lì se l'aggiornamento è stato installato e PHP riavviato, e chieda una breve verifica di eventuali anomalie.
- Ha un server proprio. Allora siete Lei o il Suo IT i responsabili: aggiornare PHP, riavviare tutti i processi PHP, conservare i log dal 20 ottobre e cercare tracce.
In tutti e tre i casi vale: un aggiornamento di WordPress o di un altro sistema sul sito non chiude la vulnerabilità. E un aggiornamento non dimostra che prima non sia successo nulla.
Come aiuta concretamente PHP SOS?
- Spiegare in modo comprensibile: Le diciamo con parole chiare se e come i Suoi sistemi sono interessati.
- Parlare con l'hoster: su richiesta chiariamo direttamente con il Suo hoster o fornitore di servizi lo stato della patch.
- Aggiornare e verificare: per i server propri installiamo l'aggiornamento, riavviamo PHP e cerchiamo tracce.
- Mettere per iscritto: riceve una breve documentazione dello stato.
Maggiori informazioni nel pronto intervento PHP2Shell.
Conclusione
PHP2Shell suona complicato, la situazione nel suo nucleo non lo è: la cucina del Suo sito, in casi eccezionali, non riordina correttamente, e questo si può sfruttare. L'aggiornamento lo ripara. Il Suo compito è assicurarsi che sia installato, attivato e documentato e, nel dubbio, far controllare se prima qualcuno è stato in cucina.
Domande frequenti
Cos'è PHP in parole semplici?
PHP è un linguaggio di programmazione che lavora sul server web. Quando richiama una pagina, PHP la compone in quel momento, ad esempio con prodotti attuali, prezzi o il Suo carrello, e la invia al Suo browser.
Il mio sito è interessato se uso WordPress?
WordPress gira con PHP, perciò il server sottostante può essere interessato. Se il Suo sito sia a rischio dipende dallo stato di PHP sul server, non dalla versione di WordPress. Chieda al Suo hoster o fornitore di servizi dell'aggiornamento di PHP.
Posso essere a rischio come visitatore di un sito?
La vulnerabilità riguarda i server, non i computer dei visitatori. Se un server viene preso, però, gli aggressori potrebbero ad esempio modificare i contenuti o reindirizzare i visitatori verso siti estranei. Per questo l'aggiornamento è importante per i gestori.
Cosa significa il nome PHP2Shell?
Descrive la possibile conseguenza: tramite PHP un aggressore può, nel caso peggiore, ottenere una shell, cioè una sorta di telecomando del server. Le denominazioni ufficiali sono CVE-2026-109618 e CVE-2026-109619.