The PHPGEDDON (CVE-2026-109618 and CVE-2026-109619)

Una vulnerabilità nascosta da anni

Il 21 ottobre 2026 sono state pubblicate le correzioni per due vulnerabilità critiche del motore PHP: CVE-2026-109618 e CVE-2026-109619, entrambe classificate CVSS 9.2.

Le vulnerabilità, conosciute anche come PHP2Shell, riguardano errori nella gestione della memoria e dello stato interno delle richieste. In determinate condizioni consentono l'esecuzione di codice remoto (RCE) senza autenticazione, indipendentemente dalla sicurezza dell'applicazione PHP utilizzata.

La scoperta è particolarmente significativa: OpenAI, attraverso modelli di intelligenza artificiale, ha contribuito a individuare problemi presenti nel codice PHP da oltre un decennio, nell'ambito di ricerche condotte anche da Calif e, indipendentemente, da Wiz.

Quanto è diffuso il problema?

Ho effettuato una scansione HTTP non invasiva su 1.127.035 domini italiani e britannici, cercando di identificare le versioni PHP dichiarate pubblicamente dai server.

I risultati:

• 101.712 siti esponevano una versione PHP identificabile.
• 80.185 siti dichiaravano una versione precedente alle correzioni disponibili o appartenente a rami legacy.
• Questo rappresenta il 7,1% di tutti i domini analizzati, oppure il 78,8% dei server per i quali è stato possibile identificare la versione PHP.

Attenzione: questi numeri non dimostrano che tutti i server individuati siano vulnerabili. Alcuni potrebbero avere ricevuto patch di sicurezza tramite backport del distributore, senza modificare il numero di versione esposto. Altri potrebbero adottare mitigazioni temporanee non rilevabili dall'esterno.

La scansione non è un campione statisticamente rappresentativo dell'intero web europeo.

Cosa bisogna fare?

Le versioni PHP corrette ufficialmente sono 8.2.35, 8.3.36, 8.4.27 e 8.5.12. Le installazioni non aggiornate che servono richieste web sono potenzialmente esposte; i rami più vecchi richiedono particolare attenzione e una verifica degli eventuali backport disponibili.

Le modalità di sfruttamento dipendono dalla configurazione del server, ma sono già stati dimostrati attacchi senza autenticazione. Non è necessario che WordPress o il codice applicativo contengano vulnerabilità proprie.

Il consiglio è semplice: chiedete subito al vostro tecnico o hosting provider di verificare che il motore PHP sia stato effettivamente corretto. Aggiornare WordPress o i suoi plugin non risolve questo problema.

Se non avete un referente tecnico, è il momento di incaricarne uno.

Manutenzione e ripristino

Mi occupo di amministrazione di server Linux, VPS, aggiornamenti PHP, migrazioni e sicurezza delle infrastrutture web.

Se il vostro server necessita di aggiornamenti, manutenzione o ripristino dopo una compromissione, contattatemi.

---

Fonti: PHP Security Advisory · OpenAI – Patch the Planet · Wiz Research – PHP2Shell

Dati della scansione: 23 ottobre 2026. Le percentuali si riferiscono esclusivamente al campione analizzato.