PHP2Shell: cosa significa per il vostro gestionale, e cosa fare adesso
Due falle critiche in PHP hanno portato offline i siti delle prefetture francesi. Se il vostro gestionale ha qualche anno, ecco cosa verificare oggi.
Mercoledì pomeriggio i siti web di tutte le prefetture francesi, compresa la prefettura di polizia di Parigi, sono diventati irraggiungibili: l’ha chiesto l’ANSSI. Lo stesso giorno la NSA statunitense ha invitato le organizzazioni ad aggiornare subito i propri sistemi e a mettere offline quelli che non riescono ad aggiornare. In Italia il CERT-AgID ha pubblicato un avviso il 21 ottobre.
Il motivo ha un nome, PHP2Shell, e riguarda un linguaggio di programmazione con cui sono scritti molti siti e molti gestionali web. Se il vostro gestionale, il portale per i clienti o l’area riservata sono stati realizzati alcuni anni fa, la notizia vi riguarda direttamente.
Cosa è successo
Il 21 ottobre 2026 il team di sicurezza di PHP ha corretto due vulnerabilità nel nucleo del linguaggio, identificate come CVE-2026-109618 e CVE-2026-109619. La gravità è 9,2 su una scala che arriva a 10 (CVSS). In certe condizioni permettono a un estraneo di eseguire codice sul server da remoto, senza conoscere nessuna password: in pratica il computer che ospita il vostro gestionale esegue i comandi di chi attacca.
La tempistica pesa quanto la gravità. Gli identificativi sono trapelati il 20 ottobre, e il rilascio è stato anticipato di un giorno. Un sistema esca di Amazon ha registrato tentativi di sfruttamento già il 17 ottobre, quattro giorni prima dell’annuncio. Al momento del rilascio il team di PHP non aveva trovato un exploit funzionante tra le dimostrazioni in circolazione, ma il dato non cancella il fatto che qualcuno stesse già provando. Chi aspetta di vedere come va a finire aspetta con un sistema raggiungibile da internet.
Le modalità di esecuzione di PHP coinvolte sono PHP-FPM, mod_php di Apache, php-cgi, FrankenPHP e LiteSpeed: sono i nomi che il vostro tecnico saprà riconoscere.
Perché il software datato è il vero problema
La correzione ufficiale esiste soltanto per le versioni 8.5, 8.4, 8.3 e 8.2, nelle release 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Per le versioni dalla 7.4 alla 8.1 non c’è nessuna release ufficiale: esistono solo backport minimi del codice sorgente, che un tecnico deve compilare a mano. Per le versioni dalla 5.4 alla 7.3, arrivate a fine vita, non esiste nessuna correzione.
Il quadro delle versioni in uso spiega perché la questione è ampia. Secondo W3Techs (rilevazione del 4 agosto 2026), tra i siti che usano PHP il 29,4% gira su PHP 7 e l’8,0% su PHP 5: più di un terzo dei siti in PHP gira su versioni 5 o 7. Un gestionale scritto alcuni anni fa può trovarsi in uno di quei gruppi senza che in azienda lo sappia nessuno. Dietro la frase che sentiamo più spesso nelle aziende, «è vecchio, ma funziona», c’è spesso proprio questa situazione.
Per un programma che funziona e che nessuno tocca, aggiornare non è mai stato urgente. Oggi lo è. Per le versioni senza correzione non c’è un aggiornamento da installare: serve pianificare il passaggio a una versione supportata oppure un intervento mirato, e il consiglio dell’NSA lascia due sole strade, aggiornare o mettere offline.
Come capire se siete esposti
I segnali sono quattro, e ne basta uno per giustificare una verifica oggi stesso.
- Il gestionale, il portale clienti o l’area riservata sono raggiungibili da internet.
- Il software è stato scritto alcuni anni fa e da allora non è stato aggiornato.
- Non sapete chi dovrebbe occuparsene: lo sviluppatore, il fornitore dell’hosting o nessuno.
- Chi lo ha costruito non lavora più con voi.
Il terzo segnale pesa più degli altri, perché un aggiornamento senza un responsabile non arriva.
Per riconoscere i segnali non serve nessuna competenza tecnica: bastano le risposte a quattro domande che un titolare sa dare senza aprire un computer. Un portale raggiungibile da internet è raggiungibile anche da chi attacca. Un software non aggiornato da anni può girare su una versione di PHP rimasta senza correzione. Dove manca un referente, nessuno saprà dirvi quale versione è installata, e dove chi lo ha costruito non c’è più, manca anche chi conosce il codice a cui mettere mano.
Cosa fare adesso, in ordine
- Scoprite chi ne è responsabile. Lo sviluppatore, il fornitore dell’hosting o nessuno: scrivete a chi pensate sia competente e chiedete una risposta per iscritto.
- Chiedete quale versione di PHP gira sul server. La domanda richiede una riga e la risposta decide tutto il resto: chiedete anche con quale modalità PHP viene eseguito, tra quelle elencate sopra, perché sono dati che un tecnico ha a disposizione. Se la risposta tarda o non arriva, quel silenzio è già un’informazione sul vostro stato di esposizione.
- Se la versione è 8.2 o successiva, fate installare la release corretta (8.5.12, 8.4.27, 8.3.36 o 8.2.35) e fate riavviare tutti i processi PHP, come raccomanda Tenable. Il riavvio fa parte dell’operazione.
- Se la versione è più vecchia, pianificate un aggiornamento del software o un intervento mirato. Le mitigazioni temporanee riducono l’esposizione ma non sono una correzione: servono da tampone finché l’intervento non è fatto.
- Fate controllare se ci sono segni di compromissione. I primi tentativi risalgono al 17 ottobre, prima dell’annuncio: l’aggiornamento chiude la porta, ma non racconta cosa è già successo.
Una nota sui siti WordPress
Anche i siti WordPress sono interessati, perché girano su PHP. Il controllo da fare è lo stesso, e va chiesto a chi li ha realizzati.
Se non sapete da dove cominciare
Siamo una software house: costruiamo e manteniamo gestionali su misura per le piccole e medie imprese. Se non sapete da dove cominciare, richiedete una verifica: una telefonata gratuita di 15 minuti con un nostro tecnico.
Fonti
Consultate il 22 ottobre 2026.
- Tenable, domande frequenti su PHP2Shell
- RSI, articolo sui siti web e servizi online a rischio
- Il Post, articolo del 21 ottobre 2026 sui siti offline
- ANSA, articolo del 21 ottobre 2026 sull’invito della NSA ad aggiornare
- CERT-AgID, avviso del 21 ottobre 2026 sulle due vulnerabilità critiche in PHP
- W3Techs, rilevazione del 4 agosto 2026 sulle versioni di PHP (dato citato nel testo, senza link)