Il 21 ottobre 2026 il progetto PHP ha reso note due vulnerabilità di sicurezza critiche, identificate come CVE-2026-109618 e CVE-2026-109619 – note tra gli addetti ai lavori anche come «PHP2Shell». Entrambe sono classificate come critiche con un punteggio CVSS di 9.2. Desideriamo informarla in modo trasparente su cosa significa e su cosa stiamo facendo.
Le due falle si trovano nel cuore di PHP stesso – non in una singola applicazione, ma nel linguaggio di programmazione su cui si basa gran parte dei siti web, tra cui WordPress, Joomla, Magento e molti altri. Nel peggiore dei casi, un attaccante può eseguire il proprio codice su un server tramite richieste appositamente preparate, senza autenticarsi.
Un errore nella gestione delle situazioni di memoria esaurita (out of memory) può far sì che PHP elabori dati inizializzati solo a metà durante la pulizia. Richieste preparate ad arte possono provocare questo stato in modo mirato.
I dati di una richiesta precedente possono rimanere in memoria anche se questa è già stata liberata. Una richiesta successiva allo stesso processo PHP può accedervi – con il rischio che venga eseguito codice o che vengano divulgati contenuti della memoria.
Sono interessate tutte le modalità di funzionamento comuni di PHP, tra cui PHP-FPM, Apache mod_php, CGI/FastCGI e LiteSpeed.
Subito dopo la pubblicazione, il nostro team tecnico ha installato con la massima urgenza gli aggiornamenti di sicurezza su tutti i sistemi da noi gestiti.
Aggiornamento del 22 ottobre 2026: tutti i sistemi da noi gestiti sono completamente aggiornati e corretti. Come cliente webhosting non deve fare nient'altro per eliminare le vulnerabilità.
I suoi siti web, i suoi dati e le sue impostazioni non sono stati interessati dagli aggiornamenti.
«La sicurezza dei suoi siti web e dei suoi dati è la nostra massima priorità. Per questo abbiamo reagito subito e protetto immediatamente tutti i nostri sistemi.»
I nostri server webhosting sono già aggiornati. Le consigliamo comunque di verificare in Plesk quale versione di PHP utilizza il suo sito: le correzioni ufficiali sono disponibili per PHP 8.2, 8.3, 8.4 e 8.5. Per PHP da 7.4 a 8.1 esistono solo correzioni limitate, mentre PHP 7.3 e versioni precedenti non ne ricevono più. Se possibile, passi quindi a PHP 8.2 o superiore.
Mantenga inoltre sempre aggiornati il suo CMS (ad es. WordPress) e tutti i temi e plugin.
Sul suo vServer con accesso root gestisce personalmente il software installato. Aggiorni subito PHP a una versione corretta – 8.5.12, 8.4.27, 8.3.36 o 8.2.35 o successive – oppure installi gli aggiornamenti di sicurezza della sua distribuzione Linux o del suo pannello di controllo (ad es. Plesk). Riavvii poi tutti i servizi PHP (ad es. PHP-FPM) affinché la correzione diventi effettiva.
Ha domande sulle vulnerabilità o sulla sua versione di PHP, oppure ha bisogno di aiuto per aggiornare il suo vServer? Il nostro team di supporto è a sua disposizione tramite il nostro sistema di ticket. Grazie di cuore per la fiducia e la comprensione.