PHP2Shell: come verificare e aggiornare la versione PHP del Suo sito web

PHP2Shell: come verificare e aggiornare la versione PHP del Suo sito web

Il 21 ottobre 2026 il progetto PHP ha rilasciato le correzioni per due vulnerabilità critiche, soprannominate PHP2Shell, che potrebbero consentire a un aggressore di eseguire il proprio codice su un server web senza effettuare l'accesso. Secondo W3Techs, PHP è utilizzato da circa il 70% dei siti web, inclusi tutti i siti WordPress, pertanto il problema riguarda una parte molto ampia del web.

La soluzione è una versione di PHP più recente, non un aggiornamento di WordPress o dei plugin. Questa guida spiega in termini semplici come controllare quale versione di PHP utilizza il Suo sito web e i modi più semplici per aggiornarla.

Verifichi la versione PHP del Suo sito web

Indice:

• Introduzione
• Che cos'è PHP2Shell?
• Quali versioni di PHP sono state corrette
• Metodo 1: controllare la versione di PHP con PCrisk Website Scanner
• Metodo 2: controllare la versione di PHP in WordPress
• Metodo 3: controllare il pannello di controllo dell'hosting
• Metodo 4: chiedere al proprio provider di hosting
• Come aggiornare PHP
• Se non può aggiornare subito
• In conclusione
• Domande frequenti (FAQ)

Che cos'è PHP2Shell?

PHP è il linguaggio di programmazione utilizzato per creare le pagine della maggior parte dei siti web, dai blog WordPress ai negozi online. PHP2Shell è il nome che i ricercatori hanno dato a un attacco che combina due vulnerabilità di PHP scoperte di recente, CVE-2026-109618 e CVE-2026-109619. Sono state individuate dai ricercatori di Calif, Wiz e OpenAI e segnalate al progetto PHP ad agosto.

Nel suo avviso di sicurezza, il progetto PHP afferma che le vulnerabilità «possono consentire l'esecuzione di codice remoto senza autenticazione». In parole semplici, un estraneo può inviare una richiesta appositamente creata al Suo sito web e, nel peggiore dei casi, assumere il controllo del server su cui si trova. Il problema risiede in PHP stesso, prima che venga eseguito qualsiasi codice di WordPress, dei plugin o dei temi.

Alcune cose da sapere:

• Quasi tutti i siti web che utilizzano PHP sono interessati, indipendentemente dalla configurazione dell'hosting. Secondo PHP, il rischio è più elevato sui server che eseguono PHP all'interno di Apache (mod_php).
• Gli attacchi sono iniziati immediatamente. Amazon ha registrato il primo tentativo il 17 ottobre, prima dell'annuncio, e l'amministratore delegato di Cloudflare ha parlato di milioni di tentativi a poche ore dall'annuncio. Al 22 ottobre, nessuna intrusione riuscita era stata confermata pubblicamente.
• Aggiornare WordPress, i plugin o i temi non risolve il problema. Solo una versione aggiornata di PHP lo fa.

[Torna al Sommario]

Quali versioni di PHP sono state corrette

Le versioni di PHP sono raggruppate in famiglie, chiamate rami, come la 8.3. Ogni ramo riceve piccoli aggiornamenti identificati da un terzo numero, come 8.3.35 e 8.3.36. La correzione è arrivata con la versione più recente di ogni ramo supportato:

Le date provengono dalla pagina delle versioni supportate di PHP. WordPress consiglia PHP 8.3 o successivo, eppure circa un terzo dei siti WordPress utilizza ancora PHP 8.1 o precedente, secondo le statistiche di WordPress.org.

Prima di controllare il proprio sito, è utile conoscere due eccezioni:

• Alcuni provider correggono PHP senza modificare il numero di versione. Ubuntu, Plesk, cPanel, CloudLinux e diverse società di hosting hanno distribuito build con patch che mantengono il vecchio numero di versione, incluse correzioni per PHP 7.4, 8.0 e 8.1. Se il Suo numero di versione non è cambiato, l'annuncio del Suo provider è l'elemento decisivo.
• Un ramo vecchio rimane rischioso anche se corretto. PHP 8.1 e le versioni precedenti non ricevono più correzioni di sicurezza ufficiali, quindi la prossima vulnerabilità potrebbe non essere corretta affatto. Pianifichi il passaggio a PHP 8.3 o 8.4.

[Torna al Sommario]

Metodo 1: controllare la versione di PHP con PCrisk Website Scanner

Questo è il metodo più rapido e non richiede alcun accesso. Il servizio gratuito PCrisk Website Scanner legge la versione di PHP che il Suo sito web comunica a ogni visitatore e la confronta con le versioni più recenti.

1. Apra scanner.pcrisk.com e digiti l'indirizzo del Suo sito web, ad esempio your-site.com.

2. Avvii la scansione e attenda il rapporto. Di solito richiede uno o due minuti.

3. Individui la riga Versione PHP sotto i riquadri informativi. Faccia clic su «Dettagli» per visualizzare la versione rilevata, il ramo, la data di fine supporto e la versione più recente.

La riga mostra uno dei seguenti risultati:

• Aggiornato: il sito utilizza la versione più recente del suo ramo.
• Aggiornamento disponibile: esiste una versione più recente. Nell'esempio sopra, il sito utilizza la 8.3.35, una versione indietro rispetto alla 8.3.36 corretta.
• Supporto in scadenza o Fine del ciclo di vita: il ramo smetterà, o ha già smesso, di ricevere correzioni di sicurezza.
• Versione nascosta: il sito utilizza PHP ma non mostra quale versione. La maggior parte dei siti web la nasconde, il che è una buona pratica, quindi utilizzi il Metodo 2, 3 o 4.

Lo scanner legge la versione comunicata dal Suo server. Non attacca il Suo sito e non verifica se può essere sfruttato. La stessa scansione controlla inoltre il Suo sito web con oltre 90 motori di sicurezza e 10 database di minacce.

Altri strumenti di verifica online gratuiti. Anche due società di sicurezza hanno lanciato verifiche gratuite per PHP2Shell:

Verifica PHP2Shell di Brandefense: legge la versione di PHP comunicata dal Suo sito, come lo scanner di PCrisk, e indica se rientra nell'intervallo interessato. Avvisa inoltre quando un servizio come Cloudflare potrebbe nascondere la versione.

Strumento di verifica PHP2Shell di Aikido: invece di leggere la versione, invia richieste di prova al Suo sito e misura come risponde PHP. Lo utilizzi solo sul proprio sito web e lasci disattivata l'opzione facoltativa «definitive check» su un sito in produzione, perché può causare l'arresto anomalo di un processo PHP.

Ogni verifica esterna ha dei limiti. Uno strumento che legge la versione non può rilevare una correzione aggiunta dal provider senza modificare il numero, e Aikido afferma che il solo test basato sui tempi di risposta non è in grado di distinguere un PHP corretto da uno vulnerabile. Consideri qualsiasi risultato come un punto di partenza e lo confermi con il Metodo 2, 3 o 4.

[Torna al Sommario]

Metodo 2: controllare la versione di PHP in WordPress

WordPress mostra la versione esatta di PHP che esegue il Suo sito web, anche quando è nascosta ai visitatori.

1. Acceda alla bacheca di WordPress e vada su Strumenti, quindi su Salute del sito.

2. Apra la scheda Info ed espanda la sezione Server.

3. Legga la riga della versione PHP. Nell'esempio seguente, il sito utilizza la 8.3.33, quindi necessita dell'aggiornamento alla 8.3.36.

Non si affidi ai segni di spunta verdi nella scheda Stato. Salute del sito considera qualsiasi PHP 8.3 o successivo «una versione consigliata di PHP», anche quando manca la correzione per PHP2Shell, come nello stesso esempio:

Lo stesso vale per la bacheca. WordPress mostra un riquadro «È necessario aggiornare PHP» solo per PHP 8.0 e versioni precedenti, come la 7.4 qui sotto. L'assenza del riquadro non significa che il sistema sia aggiornato.

Altre piattaforme per la creazione di siti web dispongono di una pagina simile: in Joomla, apra «Sistema», quindi «Informazioni di sistema». In Drupal, apra «Rapporti», quindi «Rapporto di stato». Anche i negozi WooCommerce possono visualizzare la versione di PHP in «WooCommerce», «Stato».

[Torna al Sommario]

Metodo 3: controllare il pannello di controllo dell'hosting

Il pannello di hosting mostra quale ramo di PHP utilizza il Suo sito ed è anche il luogo in cui è possibile modificarlo. In cPanel, apra «MultiPHP Manager» (oppure Select PHP Version su molti hosting economici). In Plesk, apra «Websites & Domains», quindi «PHP». I provider con pannelli propri, come Hostinger, SiteGround, GoDaddy e Kinsta, dispongono di una pagina PHP nelle impostazioni del sito (veda la tabella nella sezione sull'aggiornamento più avanti).

La maggior parte dei pannelli mostra solo il ramo, come «PHP 8.3», non il numero completo. Plesk e il PHP Manager di SiteGround mostrano il numero completo, mentre Hostinger e Bluehost dispongono di una pagina PHP Info separata che lo indica. I piccoli aggiornamenti di sicurezza all'interno di un ramo vengono installati dal provider, quindi controlli il numero completo o chieda al provider prima di presumere che la correzione per PHP2Shell sia presente.

Se gestisce un proprio server (un VPS o un server dedicato), Lei o il Suo sviluppatore potete controllare la versione direttamente sul server. Tenga presente che il PHP da riga di comando può differire da quello che serve il Suo sito web e non lasci mai online una pagina temporanea che mostra le impostazioni di PHP.

[Torna al Sommario]

Metodo 4: chiedere al proprio provider di hosting

Questa è la risposta più affidabile, perché solo il Suo provider sa quale build ha installato. La maggior parte dei grandi provider ha pubblicato un aggiornamento su PHP2Shell nel proprio blog o nella pagina di stato il 21 o il 22 ottobre, quindi controlli prima lì. Se non trova nulla, invii all'assistenza un breve messaggio come questo:

«Il PHP del mio account di hosting è stato aggiornato per CVE-2026-109618 e CVE-2026-109619 (PHP2Shell)? Quale versione e build di PHP utilizzo e PHP è stato riavviato dopo l'aggiornamento? Se non è ancora stato aggiornato, quando lo sarà?»

[Torna al Sommario]

Come aggiornare PHP

Esistono due tipi diversi di aggiornamento di PHP e chi se ne occupa dipende dal Suo hosting.

Un aggiornamento di sicurezza all'interno del Suo ramo (ad esempio da 8.3.35 a 8.3.36) viene installato dal provider sugli hosting condivisi e gestiti. Non esiste un pulsante apposito e non causa quasi mai problemi a un sito. Ecco cosa hanno dichiarato i principali provider al 22 ottobre 2026:

Il passaggio a un ramo più recente (ad esempio da 7.4 o 8.1 a 8.3) è un'operazione che deve eseguire Lei nel pannello di hosting. Lo faccia subito se il Suo sito utilizza PHP 8.2 o precedente; le versioni 8.1 e precedenti non sono più supportate e il supporto per la 8.2 termina il 31 dicembre 2026. Scelga PHP 8.3 o 8.4.

1. Esegua un backup completo dei file e del database, con lo strumento di backup del provider o con un plugin di backup.

2. Aggiorni prima WordPress, i plugin e il tema. I plugin obsoleti sono la causa più comune dei malfunzionamenti di un sito dopo una modifica di PHP.

3. Provi su una copia di staging se il Suo provider la offre (Kinsta, WP Engine, Cloudways, SiteGround, WordPress.com e altri lo fanno).

4. Modifichi la versione di PHP nel pannello di hosting:

5. Controlli subito il Suo sito. Apra la home page e alcune pagine interne, acceda alla bacheca, invii un messaggio di prova tramite il modulo di contatto e, se gestisce un negozio, aggiunga un prodotto al carrello e proceda il più possibile nel checkout.

6. Se qualcosa non funziona, torni alla versione precedente nella stessa posizione e chieda un aggiornamento allo sviluppatore del plugin o del tema. WordPress invia inoltre all'amministratore del sito un link di ripristino via email se un plugin va in crash dopo la modifica. Su Hostinger, il ritorno a una versione precedente funziona solo nella stessa sessione di accesso, quindi esegua subito i test.

Se gestisce un proprio server, installi gli aggiornamenti di sicurezza del sistema operativo per PHP, quindi riavvii PHP e il server web. Fino al riavvio, continua a essere eseguito il vecchio PHP vulnerabile. Ubuntu, Debian, Red Hat, cPanel, Plesk e CloudLinux hanno tutti rilasciato pacchetti corretti il 21 o il 22 ottobre.

[Torna al Sommario]

Se non può aggiornare subito

Un aggiornamento è l'unica soluzione completa, ma questi passaggi riducono il rischio nel frattempo:

• Utilizzi un web application firewall. Cloudflare ha attivato automaticamente regole per PHP2Shell su tutti i piani dotati del suo firewall, compreso quello gratuito (post di Cloudflare). Sui piani a pagamento, verifichi che il Cloudflare Managed Ruleset sia distribuito; se la dashboard mostra un avviso php2shell, faccia clic su Deploy Cloudflare Managed Ruleset. Molti provider hanno aggiunto regole simili sui propri server.
• Chieda al Suo provider di applicare le impostazioni temporanee elencate nell'avviso di PHP, come la disattivazione dell'avanzamento del caricamento delle sessioni e la riduzione della dimensione massima di caricamento. Devono essere configurate sul server, quindi è il provider a doversene occupare.
• Metta il sito offline se utilizza PHP 8.1 o precedente e il Suo provider non è in grado né di correggerlo né di aggiornarlo.

Eviti plugin o frammenti di codice che promettono di «risolvere PHP2Shell». La vulnerabilità si trova in PHP stesso, quindi un plugin di WordPress non può correggerla.

[Torna al Sommario]

In conclusione

PHP2Shell è grave perché colpisce contemporaneamente moltissimi siti web, ma per la maggior parte dei proprietari di siti la soluzione è semplice: verificare che il provider abbia installato il PHP aggiornato e passare a PHP 8.3 o 8.4 se si utilizza ancora un ramo vecchio. Il controllo richiede pochi minuti e può iniziare con una scansione gratuita di PCrisk.

Scansioni il Suo sito web con PCrisk Website Scanner

[Torna al Sommario]

Domande frequenti (FAQ)

Il mio sito WordPress è interessato da PHP2Shell?

Sì, se il Suo sito utilizza una versione di PHP precedente alla 8.2.35, 8.3.36, 8.4.27 o 8.5.12 e il Suo provider non ha installato una build corretta. La vulnerabilità si trova in PHP, quindi interessa allo stesso modo WordPress, Joomla, Drupal, WooCommerce e qualsiasi altro software PHP.

Aggiornare WordPress o i plugin risolve PHP2Shell?

No. PHP2Shell deve essere risolto applicando le patch a PHP sul server. L'aggiornamento di WordPress, dei plugin o dei temi non aggiorna il software PHP sottostante che esegue il Suo sito web. Il Suo provider di hosting o l'amministratore del server deve installare una versione di PHP corretta o una build con patch del fornitore e confermare che il Suo sito la stia utilizzando.

Il numero di versione di PHP non è cambiato. Sono ancora a rischio?

Non necessariamente. Ubuntu, Plesk, cPanel, CloudLinux e alcuni provider hanno corretto PHP senza modificare il numero di versione. Controlli l'annuncio del Suo provider o chieda all'assistenza se la Sua build include la correzione.

Il rapporto di PCrisk indica «Versione nascosta». Che cosa significa?

Il Suo sito utilizza PHP ma non rivela la versione ai visitatori, il che è una buona pratica. Questo non indica se il sito è corretto, quindi per ottenere questa informazione controlli la versione in Salute del sito di WordPress o nel pannello di hosting, oppure chieda al Suo provider.

Quale versione di PHP dovrei scegliere?

PHP 8.3 o 8.4. Entrambe saranno supportate per anni e sono consigliate da WordPress e WooCommerce. Eviti la 8.2, che smetterà di ricevere aggiornamenti di sicurezza il 31 dicembre 2026.

La modifica della versione di PHP causerà problemi al mio sito web?

Un aggiornamento di sicurezza all'interno del Suo ramo non lo fa quasi mai. Il passaggio a un ramo più recente può causare malfunzionamenti a plugin o temi obsoleti, quindi esegua prima un backup, aggiorni tutto, esegua test in staging se possibile e torni alla versione precedente se qualcosa va storto.

[Inizio pagina]