In breve: il BSI ha dichiarato per PHP2Shell il livello di allerta 3 (arancione). La raccomandazione è inequivocabile: aggiornare PHP subito e, se non è possibile farlo subito, scollegare temporaneamente dalla rete i web server interessati. Il BSI si attendeva un rapido sfruttamento su larga scala; attacchi riusciti confermati su larga scala in un primo momento non erano noti.
L'avviso del BSI su PHP in sintesi
L'Ufficio federale per la sicurezza informatica (BSI, Bundesamt für Sicherheit in der Informationstechnik) è l'autorità specializzata centrale per la cybersicurezza in Germania. Su PHP2Shell ha pubblicato un avviso di livello 3 (arancione). All'origine ci sono due vulnerabilità critiche in PHP stesso: CVE-2026-109618 e CVE-2026-109619, entrambe valutate CVSS v4.0 9.2. Consentono agli aggressori di eseguire codice dannoso sul server senza autenticazione.
I messaggi chiave dell'avviso si possono riassumere così:
| Affermazione | Significato per i gestori |
|---|---|
| Livello di allerta 3 / arancione | situazione seria, necessario intervenire |
| Aggiornamento immediato raccomandato | installare le versioni corrette di PHP |
| Altrimenti temporaneamente offline | subordinare la raggiungibilità alla protezione |
| Atteso rapido sfruttamento su larga scala | non attendere le prime segnalazioni di danni |
| Attacchi riusciti su larga scala in un primo momento non confermati | nessun motivo per abbassare la guardia |
La versione aggiornata di volta in volta la trova sul sito del BSI.
Che cosa significa in pratica «aggiornare subito»
Il progetto PHP ha pubblicato le versioni corrette il 21/10/2026 alle 14:00 UTC (le 16:00 ora tedesca): PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Per PHP 8.1 e precedenti non esistono più aggiornamenti ufficiali, solo backport minimi del sorgente per 7.4, 8.0 e 8.1.
Un aggiornamento è efficace solo quando tutti i processi PHP sono stati riavviati. I nuovi file da soli non bastano finché i vecchi worker girano in memoria. Vale inoltre: distribuzioni e hoster a volte installano le correzioni come backport. In tal caso Plesk, ad esempio, continua a mostrare 8.2.34 anche se è aggiornato. Decisivi sono lo stato dei pacchetti e la conferma del fornitore. E un aggiornamento del CMS, ad esempio di WordPress, non chiude la vulnerabilità di PHP.
Se un aggiornamento non è possibile subito
Per questo caso il BSI raccomanda di scollegare temporaneamente dalla rete i web server. È una misura dura, ma chiara. Per molte aziende un'interruzione pianificata di alcune ore è meno dannosa di un'intrusione con fuoriuscita di dati.
php.net indica inoltre misure transitorie che riducono il rischio ma espressamente non offrono una protezione completa. Ne fanno parte session.upload_progress.enabled=0 nella configurazione del server, valori limitati di post_max_size, limiti di memoria tramite container o cgroup e, su PHP 8.5, fatal_error_backtraces=0, in ogni caso con il successivo riavvio di tutti i worker. I dettagli si trovano alla pagina Misure immediate senza patch.
Se un web server raggiungibile pubblicamente gira ancora con PHP non aggiornato e senza misure transitorie, dalla raccomandazione del BSI discende: scollegare il server dalla rete finché l'aggiornamento non è installato e tutti i processi non sono stati riavviati.
Inquadramento della situazione
Il BSI non è solo nella sua valutazione. Cloudflare ha segnalato tentativi di attacco osservati e ha distribuito regole di protezione, avvertendo però che regole basate soltanto sui dati della richiesta non bastano. Palo Alto Networks (Unit 42) ha contato oltre 22,6 milioni di istanze esposte e potenzialmente vulnerabili. Secondo notizie dei media, un primo tentativo di attacco era già stato osservato il 17/10/2026, cioè prima della pubblicazione delle patch.
Per i gestori ne deriva una valutazione sobria: chi finora non ha aggiornato dovrebbe non solo aggiornare, ma anche verificare se sia già successo qualcosa. Una patch non rimuove il malware introdotto. Non esistono Indicators of Compromise pubblicati e confermati; il rilevamento si basa sull'analisi del comportamento. La stampa specializzata consiglia di conservare i log del server a partire dal 20/10/2026. Indicazioni per la ricerca si trovano alla pagina Sono già stato compromesso?.
Che cosa significa la raccomandazione per i responsabili
Un avviso del BSI non è una legge. È però la valutazione dell'autorità specializzata competente e nella successiva valutazione delle decisioni potrà avere un ruolo, ad esempio da parte di assicuratori o revisori. Le direzioni dovrebbero quindi documentare quando sono venute a conoscenza dell'avviso, come hanno valutato i propri sistemi e quali misure hanno adottato. Indicazioni generali in proposito si trovano alla pagina Responsabilità della direzione; questa non è consulenza legale.
Nella pratica si raccomanda di non leggere l'avviso una volta sola. Il BSI aggiorna le proprie segnalazioni quando la situazione cambia, ad esempio con nuovi elementi sullo sfruttamento o su altre vulnerabilità. Dal 23/10/2026 esiste inoltre un avviso di php.net su CVE-2026-115560, che riguarda solo configurazioni insolite e viene anch'esso attenuato con session.upload_progress.enabled=0. Designi una persona che controlli ogni giorno BSI e php.net fino alla conclusione della situazione e trasmetta le modifiche a tecnica e direzione. Così non si crea un divario di conoscenza tra chi decide e chi attua.
Come aiuta concretamente PHP SOS?
- Confrontiamo i Suoi web server con la raccomandazione del BSI: versione, stato dei pacchetti, riavvio, raggiungibilità.
- Nell'ambito dell'assistenza immediata PHP2Shell aggiorniamo, riavviamo tutti i processi e forniamo una prova.
- Dove un aggiornamento non è possibile subito, applichiamo misure transitorie e, se necessario, mettiamo a disposizione una pagina statica sostitutiva.
- Salviamo i log e verifichiamo la presenza di tracce, in modo che dopo la patch possa valutare la situazione in modo solido.
Domande frequenti
Che cosa significa livello di allerta 3 (arancione) per il BSI?
Il colore descrive una situazione di minaccia elevata e seria, con necessità di intervenire. Per PHP2Shell il BSI lo motiva con la criticità delle vulnerabilità e con il rapido sfruttamento atteso. La definizione esatta dei livelli la trova sul sito del BSI.
Devo seguire la raccomandazione del BSI?
Un avviso del BSI è una raccomandazione, non una legge. È però una valutazione di peso dell'autorità specializzata competente, alla quale possono riferirsi assicuratori, revisori e tribunali. Chi se ne discosta dovrebbe documentare i motivi. Questa non è consulenza legale.
Secondo il BSI ci sono già stati attacchi riusciti?
Attacchi riusciti confermati su larga scala, secondo il BSI, in un primo momento non erano noti. Il BSI però si attendeva un rapido sfruttamento su larga scala. Altri enti hanno segnalato già tentativi di attacco.
Dove trovo la versione aggiornata dell'avviso?
Sul sito del BSI, tra gli avvisi di sicurezza aggiornati. La situazione può cambiare; controlli lì e su php.net con regolarità l'ultimo stato.