Nelle ultime ore, le agenzie per la sicurezza informatica e i team di sicurezza globali hanno rilasciato aggiornamenti urgenti per una situazione di criticità elevata. È stata infatti individuata una coppia di vulnerabilità nel cuore di PHP, il celebre linguaggio di programmazione che muove circa il 70% dei siti web mondiali, compresi moltissimi portali in WordPress e applicativi su misura.

La falla, catalogata ufficialmente con i codici CVE-2026-109618 e CVE-2026-109619, è nota nella community con il nome di PHP2Shell. La particolarità di questa scoperta risiede nel fatto che i problemi di fondo erano presenti nel motore da lungo tempo, ma la complessità per dimostrarne l'effettiva sfruttabilità era tale da risultare quasi inarrivabile per i ricercatori umani; l'impiego dei moderni modelli di Intelligenza Artificiale di frontiera ha però ridotto questa barriera, facendo emergere il rischio reale. Come professionista del web, ritengo fondamentale spiegarti in modo semplice cosa sta succedendo e come intendo muovermi per proteggere il tuo lavoro digitale.

Cosa rischia concretamente un sito web non aggiornato?

È importante chiarire che questo problema non è legato a un errore nella scrittura del codice del tuo specifico sito o della sua grafica, ma risiede nella gestione della memoria interna del motore PHP stesso. Se il server che ospita l'applicazione utilizza una versione vulnerabile e non aggiornata, un utente malintenzionato non autenticato potrebbe inviare richieste HTTP mirate per:

  • Eseguire codice da remoto (RCE): Iniettare ed eseguire comandi arbitrari sul server senza disporre di credenziali di accesso.
  • Compromettere i dati: Sfruttare la corruzione della memoria per mandare in crash i processi o accedere a informazioni riservate gestite dal server.

La severità assegnata a entrambe le falle nel sistema CVSS v4.0 è pari a 9.2 su 10, confermandone l'assoluta urgenza.

La soluzione tecnica ufficiale

Il Security Team di PHP si è attivato tempestivamente rilasciando le patch correttive d'emergenza il 21 ottobre 2026. Per eliminare il rischio alla radice non ci sono scorciatoie: è necessario intervenire a livello sistemistico sull'hosting o sul server ed effettuare l'aggiornamento del software alle release stabili e protette. Le versioni ufficiali minime di sicurezza rilasciate sono:

  • 8.2.35 per il ramo PHP 8.2
  • 8.3.36 per il ramo PHP 8.3
  • 8.4.27 per il ramo PHP 8.4
  • 8.5.12 per il ramo PHP 8.5

La mia gestione in AL WebEngine

Per me la sicurezza non è un intervento una tantum, ma un processo di manutenzione costante e rigoroso. Nella mia attività quotidiana con AL WebEngine seguo la filosofia del "digitale finalmente semplice", occupandomi in prima persona di mantenere l'infrastruttura delle mie soluzioni solida e protetta.

I siti web e gli ambienti software che sviluppo e gestisco direttamente beneficiano di un monitoraggio continuo e di sistemi di backup ridondanti e automatizzati su datacenter geograficamente separati (sfruttando tecnologie affidabili come Acronis e Plesk). Questo garantisce la massima resilienza dei dati aziendali di fronte a qualsiasi emergenza strutturale in rete.

Proprio per garantire questi standard elevati di prestazioni e sicurezza, ospito sul mio cloud e curo l'infrastruttura esclusivamente dei progetti che ho realizzato da zero. Se sei già un mio cliente e hai un sito o un applicativo sviluppato da me, monitoro e gestisco personalmente l'applicazione delle patch di sicurezza necessarie sul server. Se hai dubbi o vuoi semplicemente una conferma sullo stato di aggiornamento della tua piattaforma, sono come sempre a tua completa disposizione: contattami per qualsiasi informazione.