In questa pagina
Il 21 ottobre 2026 il progetto PHP ha rilasciato PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Le release correggono due vulnerabilità critiche, CVE-2026-109618 e CVE-2026-109619, la coppia nota come php2shell. Nelle condizioni giuste, permettono a un aggressore non autenticato di eseguire codice su un server che esegue PHP. La PHP Foundation lo dice senza giri di parole: se usi PHP, aggiorna subito.
Vodlix ha applicato la patch ai propri sistemi prima che le falle fossero rese pubbliche. I clienti Vodlix non hanno dovuto fare nulla.
Una patch non protegge nessuno finché non è installata sul tuo server. Per un'azienda video, php2shell si riduce a questo.
Che cos'è php2shell?
php2shell è il nome di due falle correlate di esecuzione di codice remoto in PHP, CVE-2026-109618 e CVE-2026-109619. Entrambe si trovano nella gestione della memoria e nella gestione degli errori, parti di PHP attraversate da quasi ogni richiesta. Gli avvisi del progetto PHP le classificano come critiche, e le versioni corrette sono uscite il 21 ottobre 2026.
La PHP Foundation e gli avvisi del progetto PHP indicano le falle con i loro numeri CVE, quindi usa quelli quando cerchi negli avvisi dei tuoi fornitori e hosting provider.
CVE-2026-109618: corruzione della memoria quando PHP esaurisce la memoria
Se una richiesta raggiungeva il memory_limit di PHP esattamente nel momento sbagliato, PHP poteva lasciare dati interni parzialmente inizializzati e in seguito trattarli come validi. Su Apache con mod_php, una richiesta non autenticata può innescare il problema prima che venga eseguito qualsiasi codice applicativo, e la PHP Foundation afferma che l'esecuzione di codice remoto completa è stata dimostrata con le impostazioni predefinite. L'esecuzione di codice remoto è stata confermata anche su PHP-FPM attraverso percorsi di codice applicativo.
CVE-2026-109619: stato obsoleto residuo di una richiesta precedente
Un errore fatale nel punto sbagliato poteva lasciare uno stato interno che puntava a memoria appartenuta a una richiesta precedente. Una richiesta successiva sullo stesso worker poteva poi usare quella memoria liberata. Secondo la PHP Foundation, chi ha segnalato la falla ha dimostrato l'esecuzione di codice remoto contro un'applicazione reale su Apache con mod_php.
Quali versioni di PHP correggono la vulnerabilità php2shell?
Le versioni corrette sono PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35, tutte rilasciate il 21 ottobre 2026. Ogni release precedente in quei quattro rami è interessata, secondo l'avviso del progetto PHP per CVE-2026-109618. Se usi PHP 8.1 o una versione precedente, non esiste alcuna patch per il tuo ramo.
Il tuo ramo PHP | Interessato | Aggiorna a |
|---|---|---|
8.5 | Inferiore a 8.5.12 | 8.5.12 |
8.4 | Inferiore a 8.4.27 | 8.4.27 |
8.3 | Inferiore a 8.3.36 | 8.3.36 |
8.2 | Inferiore a 8.2.35 | 8.2.35 |
8.1 e precedenti | Non più supportato | Un ramo supportato, come 8.5.12 |
TechCrunch riporta che le falle sono presenti in ogni versione di PHP a partire da PHP 5, rilasciato nel 2004, e che PHP 8.1 e le versioni precedenti non sono più supportate. I siti su quelle versioni hanno davanti più lavoro di un semplice aggiornamento minore.
Chi ha scoperto le falle, e quando?
Il ricercatore Ryan A della società di sicurezza Calif ha segnalato a PHP la prima esecuzione di codice remoto l'11 agosto 2026, durante un audit iniziato il 30 luglio 2026. Wiz e OpenAI hanno poi segnalato ulteriori percorsi di attacco. La causa principale risale a un problema di memoria che il team PHP aveva individuato per la prima volta nel 2024.
Il resoconto della stessa PHP Foundation espone l'ordine degli eventi:
2024: durante il primo audit di sicurezza esterno di PHP dopo anni, uno sviluppatore core ha trovato i primi segni del problema di esaurimento della memoria. All'epoca non fu individuato alcun percorso di attacco concreto, e la correzione rimase ferma.
30 luglio 2026: Calif ha avviato un audit di PHP nell'ambito del programma Patch the Planet.
11 agosto 2026: Ryan A di Calif ha segnalato un'esecuzione di codice remoto incondizionata con la stessa causa principale. OpenAI ha segnalato in modo indipendente la stessa causa.
24 agosto 2026: Wiz ha segnalato ulteriori vettori di attacco.
18 settembre 2026: OpenAI ha segnalato ulteriori vettori di attacco.
21 ottobre 2026: PHP ha rilasciato le versioni corrette.
La Foundation è schietta su questo vuoto: definisce il ritardo dopo il 2024 “un fallimento strutturale” del processo decisionale del team di sicurezza e della sua mancanza di risorse, e afferma che il team sta cambiando il proprio modo di lavorare.
Quanto è grave php2shell, e come ha reagito internet?
È grave perché PHP è ovunque e lo scenario peggiore è un aggressore che esegue codice sul tuo server. TechCrunch riporta che PHP alimenta circa il 70% dei siti web e che la National Security Agency statunitense ha consigliato di mettere offline un sito se non può essere aggiornato subito.
TechCrunch riporta inoltre che le falle possono consentire agli aggressori di raggiungere il file system di un server o un database usato dall'applicazione web. Al momento del suo articolo del 21 ottobre, OpenAI ha dichiarato che le falle erano state trovate dai ricercatori prima degli aggressori, senza segnalazioni di exploit in circolazione. La divulgazione cambia le cose, perché i dettagli ora sono pubblici.
I provider cloud si sono mossi lo stesso giorno. AWS ha pubblicato il bollettino di sicurezza 2026-143-AWS il 21 ottobre 2026, contrassegnato come “Important (requires attention)”, per i runtime web PHP interessati da entrambe le CVE.
Cosa significa php2shell per una piattaforma di streaming o un sito video?
Significa controllare ogni parte della tua attività video che esegue PHP, non solo il player. Un sito di streaming è una vetrina, un accesso, un flusso di fatturazione e spesso anche un sito marketing o un blog. Se uno di questi esegue PHP su un server gestito da te o dal tuo hosting provider, ha bisogno di una versione corretta.
Qui la sicurezza non è solo un compito IT. È una questione di business. Un sito video che va offline in attesa di una patch smette di vendere abbonamenti e noleggi per tutto il tempo in cui resta fermo.
WordPress è un caso comune. TechCrunch riporta che WordPress ha dichiarato che la falla non è specifica di WordPress e che i siti che lo usano devono aggiornare i propri server e collaborare con le loro società di hosting.
Applicare le patch è un livello di protezione. La nostra guida agli elementi essenziali della sicurezza OTT per i tuoi contenuti e i tuoi spettatori copre gli altri, e la nostra pagina sulla sicurezza dell'accesso per le piattaforme di streaming riguarda gli account degli spettatori.
Come ha gestito Vodlix php2shell?
Vodlix ha applicato la patch ai propri sistemi contro CVE-2026-109618 e CVE-2026-109619 prima che le falle fossero rese pubbliche il 21 ottobre 2026. In Vodlix solo il middleware usa PHP, ed è quello che è stato aggiornato. I clienti Vodlix non hanno dovuto intraprendere alcuna azione.
Su una piattaforma gestita come Vodlix, gli aggiornamenti di sicurezza come questo vengono applicati al posto tuo. Se vuoi segnalare un problema di sicurezza relativo a Vodlix, scrivi a [email protected].
Cosa fare se gestisci i tuoi siti PHP?
Aggiorna ogni installazione PHP che gestisci a una versione corretta, o chiedi al tuo hosting provider di farlo, e leggi gli avvisi dei tuoi fornitori. Se non puoi aggiornare subito, segui le indicazioni della NSA riportate da TechCrunch e metti il sito offline finché non puoi farlo.
Elenca tutto ciò che esegue PHP. Includi il tuo sito principale, eventuali siti o blog WordPress, le landing page e gli strumenti di amministrazione.
Controlla ogni versione. Confrontala con la tabella qui sopra.
Aggiorna o chiedi al tuo hosting provider. Passa a 8.5.12, 8.4.27, 8.3.36 o 8.2.35. Con un hosting gestito, chiedi di confermare la data dell'aggiornamento.
Pianifica un upgrade per i rami vecchi. PHP 8.1 e le versioni precedenti non sono più supportate, quindi non arriverà alcuna patch per loro.
Leggi gli avvisi dei tuoi fornitori. Inizia dal tuo hosting provider e dal tuo provider cloud. AWS ne ha già pubblicato uno.
Verifica che la nuova versione sia in esecuzione. Controlla di nuovo dopo l'aggiornamento, su ogni server.
Prossimi passi
Se sei un cliente Vodlix, non devi fare nulla per php2shell. Per qualsiasi domanda, visita il centro assistenza Vodlix o contatta il team Vodlix.
Se stai valutando una piattaforma gestita in modo che aggiornamenti come questo vengano gestiti al posto tuo, scopri le funzionalità della piattaforma Vodlix o richiedi una demo di Vodlix.
Domande frequenti
Che cos'è php2shell?
php2shell è il soprannome di due vulnerabilità critiche di PHP, CVE-2026-109618 e CVE-2026-109619. Gli avvisi ufficiali, come quelli della PHP Foundation, usano i numeri CVE. Entrambe sono falle nella gestione della memoria e degli errori di PHP che, nelle condizioni giuste, permettono a un aggressore non autenticato di eseguire codice su un server. PHP le ha corrette il 21 ottobre 2026.
Quali versioni di PHP correggono CVE-2026-109618 e CVE-2026-109619?
PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35 correggono entrambe le vulnerabilità. Sono state rilasciate il 21 ottobre 2026. Qualsiasi release precedente nei rami 8.5, 8.4, 8.3 e 8.2 è interessata. PHP 8.1 e le versioni precedenti non sono più supportate, quindi i siti su quelle versioni devono passare a un ramo supportato.
I clienti Vodlix devono fare qualcosa per php2shell?
No. In Vodlix solo il middleware usa PHP, e Vodlix lo ha aggiornato prima che le falle fossero rese pubbliche il 21 ottobre 2026. I clienti non hanno dovuto intraprendere alcuna azione. Se vuoi segnalare un problema di sicurezza relativo a Vodlix, puoi scrivere a [email protected].
WordPress è interessato dalla vulnerabilità PHP di ottobre 2026?
WordPress funziona su PHP, quindi i siti WordPress sono esposti tramite la versione di PHP del server. TechCrunch riporta che WordPress ha dichiarato che la falla non è specifica di WordPress e che i siti che lo usano devono aggiornare i propri server e collaborare con le loro società di hosting. Aggiornare WordPress non sostituisce l'aggiornamento di PHP.
php2shell è stato sfruttato prima dell'uscita della correzione?
TechCrunch ha riportato il 21 ottobre 2026 che, secondo OpenAI, le falle erano state trovate dai ricercatori prima degli aggressori e in quel momento non c'erano segnalazioni di exploit in circolazione. Ora che i dettagli sono pubblici, i server non aggiornati corrono un rischio maggiore, ed è per questo che la NSA ha consigliato di mettere offline i siti che non possono essere aggiornati.
Cosa devo fare se non posso aggiornare PHP subito?
TechCrunch riporta che la National Security Agency statunitense ha consigliato di mettere offline un sito web che non può essere aggiornato immediatamente, finché non sarà possibile farlo. Chiedi al tuo hosting provider quando applicherà PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35, e leggi il suo avviso e quello del tuo provider cloud, come il bollettino AWS 2026-143-AWS.
Ti è piaciuto quello che hai appena letto?
Abbonati per ricevere le ultime notizie, strategie e insights sui business di membership direttamente nella tua casella di posta.
