Se hai un sito web, è molto probabile che funzioni con PHP. Questo linguaggio di programmazione è alla base di una grande parte del web, inclusi WordPress, Wikipedia, siti web della pubblica amministrazione e governi, e molte piattaforme di e-commerce. Questa settimana sono state scoperte due vulnerabilità critiche, per cui è importante verificare che il tuo sito non sia vulnerabile e che tutte le correzioni necessarie siano state applicate.

Un scandalo nella sicurezza informatica

Il progetto PHP ha rilasciato un aggiornamento di sicurezza di emergenza il 21 ottobre. Questo aggiornamento corregge due vulnerabilità, registrate come CVE-2026-109618 e CVE-2026-109619, entrambe classificate come critiche e entrambe consentono l'esecuzione remota di codice. Un attaccante che sfrutta questa vulnerabilità potrebbe eseguire i propri comandi su un server che utilizza PHP, assumendone il controllo e/o accedendo a informazioni sensibili. I difetti sono stati battezzati PHP2Shell.

L'azienda di sicurezza informatica Qualys ha riferito che le vulnerabilità possono essere sfruttate senza necessità di accesso, da qui l'urgenza di agire. Cloudflare ha informato inoltre di attacchi che hanno già sfruttato questa vulnerabilità nelle ore precedenti alla pubblicazione del patch, e che i ricercatori hanno confermato l'esecuzione remota di codice contro Magento 2.4.9 (una piattaforma di e-commerce open source) e altre dieci applicazioni PHP. Ora che i dettagli sono pubblici, è necessario stare all'erta, poiché si prevede che questa vulnerabilità continui a essere sfruttata.

Conosci la versione di PHP di cui hai bisogno

Le versioni corrette sono elencate per ramo di PHP. Qualys le elenca come 8.5.12, 8.4.27, 8.3.36 e 8.2.35. In pratica, il tuo PHP è aggiornato se si trova alla versione corrispondente al suo ramo o superiore.

Le versioni più vecchie rappresentano un problema maggiore. PHP 8.1 e precedenti non ricevono più aggiornamenti dal progetto PHP, quindi devono essere considerati vulnerabili a meno che una distribuzione o un fornitore di supporto di terze parti non abbia adattato le correzioni. Se ti trovi in una di queste versioni, la cosa più consigliata è consultare il tuo fornitore riguardo a un aggiornamento compatibile.

Scopri con cosa funziona il tuo sito

Se usi un hosting condiviso o hai un WordPress:

    • Accedi al tuo CMS (cPanel, Plesk o il pannello proprio del tuo fornitore).
    • Cerca una sezione che dica qualcosa come "Versione di PHP", "MultiPHP Manager" o "Software".
    • Annote il numero di versione completo, come 8.3.36, non solo il "8.3".

Molti fornitori mostrano solo il ramo. Se è così, per essere sicuri la cosa migliore da fare è chiedere al supporto se hanno applicato la correzione del 21 ottobre.

Se gestisci il tuo server, esegui php -v in una terminale. È possibile che il tuo sito utilizzi una versione di PHP diversa dalla riga di comando, quindi verifica anche la versione che utilizza effettivamente il tuo server web. Una pagina temporanea che contenga può anche mostrarlo, ma sarebbe consigliabile eliminare immediatamente quella pagina non appena l'hai letta, poiché rivela dettagli sul tuo server e gli attaccanti possono utilizzare scanner automatizzati per trovare proprio questi file esposti.

Non entrare nel panico se il numero sembra vecchio

Le distribuzioni di Linux solitamente correggono i buchi di sicurezza senza cambiare il numero di versione. Questo significa che un server può sembrare obsoleto e comunque essere protetto. In questo caso, è consigliabile consultare l'avviso di sicurezza del tuo fornitore o il registro delle modifiche del tuo gestore di pacchetti per vedere i due numeri CVE che fanno riferimento alle vulnerabilità corrette.

L'azienda di sicurezza Sansec segnala inoltre che i server che installano PHP dal repository di Remi, comune nei sistemi basati su RHEL, non avevano la correzione disponibile lo stesso 21 ottobre. La maggior parte dei pacchetti ora ha l'aggiornamento disponibile, quindi puoi dare un'occhiata per verificarlo e applicare il patch.

Verifica se il tuo fornitore lo ha già fatto

Molti fornitori si stanno occupando di questo per te, quindi se non sei familiare con la terminologia o non sei la persona che si occupa di gestire il sistema e hai WordPress, probabilmente hai la vulnerabilità già corretta. I principali hosting hanno tutte le versioni di PHP aggiornate, quindi i clienti non devono fare nulla. Alcuni hanno disattivato momentaneamente una configurazione di PHP su tutti i server fino a quando il patch non fosse pronto, come misura precauzionale.

A seconda del fornitore di hosting che utilizzi, cerca qualche annuncio che abbia fatto su PHP su internet e verifica. E se hai dubbi, la cosa migliore da fare è sempre contattare direttamente il loro supporto e chiedere.

Per precauzione, non è mai troppo fare un backup dei tuoi file e del tuo database prima di apportare qualsiasi modifica. Questi giorni è anche consigliabile stare all'erta e monitorare eventuali segni di problemi, come file sconosciuti, nuovi utenti amministratori, picchi di traffico inspiegabili, ecc. Se sospetti di una violazione, contatta il tuo fornitore o la persona incaricata di gestire il tuo sistema.