# PHP2Shell: tutto sulla vulnerabilità critica di PHP

> PHP2Shell spiegato in modo chiaro: CVE-2026-109618 e CVE-2026-109619, versioni interessate, verifica, riavvio e misure provvisorie.

Fonte: https://phpsos.de/it/php2shell/  
Stato: 25/10/2026  
Fornitore: PHP SOS, Assistenza di emergenza PHP e sicurezza dei server. Assistenza immediata su WhatsApp: https://wa.me/491736494914?text=Buongiorno%20PHP%20SOS%2C%20abbiamo%20bisogno%20di%20aiuto%20con%20il%20nostro%20server%20PHP.%20Azienda%3A%20%E2%80%A6%20Sito%20web%3A%20%E2%80%A6

Due vulnerabilità critiche in PHP stesso, CVSS 9,2, codice dannoso senza autenticazione. Qui trova che cosa è documentato, quali versioni sono sicure e che cosa fare ora.

- [Che cos'è PHP2Shell? La vulnerabilità spiegata in modo semplice](https://phpsos.de/it/php2shell/was-ist-php2shell/): PHP2Shell indica due vulnerabilità critiche in PHP stesso, con cui gli aggressori possono eseguire codice sui web server senza autenticazione. Ecco la situazione in parole chiare.
- [CVE-2026-109618: RCE per condizione out-of-memory](https://phpsos.de/it/php2shell/cve-2026-109618/): CVE-2026-109618 è una delle due vulnerabilità PHP2Shell: una condizione out-of-memory può interrompere PHP durante l'elaborazione della richiesta. Corretta da PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35.
- [CVE-2026-109619: RCE per stato globale obsoleto](https://phpsos.de/it/php2shell/cve-2026-109619/): CVE-2026-109619 è la seconda vulnerabilità PHP2Shell: lo stato interno di una richiesta può restare dopo la liberazione della memoria ed essere usato dalla richiesta successiva nello stesso worker.
- [CVE-2026-115560: avviso su session upload progress](https://phpsos.de/it/php2shell/cve-2026-115560/): CVE-2026-115560 è un avviso di php.net del 23/10/2026: possibile esecuzione di codice solo con una configurazione di sessione insolita. Rimedio fino al prossimo release: session.upload_progress.enabled=0.
- [Quali versioni di PHP sono interessate?](https://phpsos.de/it/php2shell/betroffene-php-versionen/): PHP2Shell è corretta in PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Per PHP 8.1 e precedenti non esistono più aggiornamenti ufficiali. La tabella mostra lo stato per ogni ramo.
- [Verificare correttamente versione e stato delle patch di PHP](https://phpsos.de/it/php2shell/php-version-pruefen/): La sola versione PHP visualizzata non dice se PHP2Shell è chiusa. Contano stato dei pacchetti, backport e se i nuovi processi girano davvero.
- [Perché mod_php comporta il rischio più alto](https://phpsos.de/it/php2shell/mod-php-risiko/): Con Apache e mod_php il team PHP classifica come più alto il rischio di PHP2Shell: lì è stato dimostrato un exploit prima che giri il codice dell'applicazione. Come verificare e agire.
- [Dopo l'aggiornamento: riavviare PHP-FPM e tutti i worker](https://phpsos.de/it/php2shell/php-fpm-neustart/): Un aggiornamento di PHP ha effetto solo quando tutti i processi PHP sono stati riavviati. Ecco i comandi per PHP-FPM, Apache, LiteSpeed e container e come verificare il riavvio.
- [Misure immediate se non può ancora applicare la patch](https://phpsos.de/it/php2shell/sofortmassnahmen-ohne-patch/): Se l'aggiornamento di PHP non è ancora possibile, le misure provvisorie di php.net riducono il rischio, ma non proteggono del tutto. Ecco come impostarle correttamente.
- [PHP 8.1 e precedenti: che cosa vale adesso](https://phpsos.de/it/php2shell/php-8-1-und-aelter/): Per PHP 8.1, 8.0, 7.4 e le versioni precedenti non esistono aggiornamenti ufficiali contro PHP2Shell. Che cosa offrono i backport del sorgente e come si arriva a una versione supportata.
- [Applicare la patch a PHP nei container Docker](https://phpsos.de/it/php2shell/docker-container-patchen/): I container non si aggiornano da soli. Contro PHP2Shell deve ricostruire o riscaricare l'immagine PHP e ricreare ogni container dalla nuova immagine.
- [Sono già stato compromesso? Segni dopo PHP2Shell](https://phpsos.de/it/php2shell/bin-ich-gehackt-anzeichen/): Per PHP2Shell non esistono Indicators of Compromise confermati. Da che cosa capisce comunque se il Suo server è stato hackerato e come verificare senza distruggere le tracce.