Vulnerabilità critica in PHP

PHP2Shell: proteggiamo il tuo server e applichiamo la patch.

Due falle nello stesso PHP consentono agli aggressori di accedere al tuo server senza login. I dettagli erano già online prima che la patch fosse disponibile. Ci occupiamo dell’intero processo: inventario, protezione, patching e verifica di eventuali intrusioni.

CVE-2026-109618CVE-2026-109619CVSS 9,2 / 10

Fai un controllo oggi stesso Chiama lo 085 30 350 45

Stato per i clienti in gestione

Nessuna azione richiesta

Misure temporanee implementate
Versioni PHP per server mappate
Patch pronta per il rilascio non appena PHP la pubblica
Controllo dei log per tracce di abuso

Spiegazione tecnica sul nostro blog →

Perché questo caso è diverso

La falla si trova a monte della tua applicazione.

PHP elabora una richiesta ancora prima che WordPress, Laravel o il tuo codice eseguano una singola riga. Aggiornare il tuo CMS o installare un plugin di sicurezza, quindi, non risolve il problema.

Aggressorerichiesta senza login

Webservernginx · Apache · LiteSpeedQui blocchiamo noi

PHPelaborazione multipartQui si trova la falla

WordPress · Laravel · pluginarriva troppo tardi

Sei vulnerabile?

Presumi di sì se utilizzi PHP. Le azioni da intraprendere dipendono dalla tua versione.

Riceverà una patchPHP 8.2 – 8.5

Schermare ora, aggiornare immediatamente al rilascio dell’update.

Nessuna patch previstaPHP 8.1 e precedenti

Mantenere le misure di protezione e aggiornare il prima possibile. Lo faremo insieme a te.

SconosciutoNon lo sai?

php -v non dice nulla sul tuo sito web. Noi verifichiamo quale versione di PHP serve realmente i tuoi siti.

Il nostro approccio

Quattro fasi, dalla protezione al controllo finale.

1
Inventario
Ogni server, sito, ambiente di staging, container e strumento di gestione con PHP. Inclusi la versione e il file php.ini effettivamente in uso.
2
Protezione
Session upload progress disattivato e richieste multipart bloccate sul webserver, anche direttamente sull’IP. Testato con curl.
3
Patching
Ogni versione di PHP aggiornata, inclusi i Docker images. Riavvio di PHP-FPM, worker e code, affinché nulla continui a girare sul vecchio binary.
4
Controllo
Verifica di log, file modificati, cronjob, chiavi SSH e nuovi amministratori. Successivamente rimuoviamo il blocco temporaneo.

Errori comuni

Cosa NÓN aiuta.

Tutto ciò che entra in funzione solo dopo che PHP ha letto la richiesta arriva troppo tardi. Queste misure danno un falso senso di sicurezza.

~~Aggiornare WordPress o i plugin~~La falla è in PHP, non nel tuo CMS.
~~Wordfence o altri plugin di sicurezza~~Entrano in funzione solo dopo che PHP ha già elaborato la richiesta.
~~file_uploads = Off~~PHP legge comunque la richiesta.
~~disable_functions~~Non influisce sull’errore di elaborazione.
~~Solo un WAF o Cloudflare~~Non aiuta se il tuo server è raggiungibile anche direttamente tramite il suo IP.
~~Scegliere un’altra versione di PHP nel pannello~~Non garantisce che quella build sia stata patchata.

Ecco come ti aiutiamo.

Cliente in gestione

Non devi fare nulla

Le misure temporanee sono già attive. Applicheremo la patch non appena l’aggiornamento sarà disponibile e controlleremo i log subito dopo. Ti contatteremo se dovessimo trovare qualcosa.

Incluso nel tuo pacchetto di gestione

Senza contratto di gestione

Interveniamo oggi stesso

Un tecnico analizzerà il tuo PHP, schermerà il tuo server e applicherà la patch. Anche presso il tuo provider, in Docker o dietro un pannello di hosting.

Richiedi assistenza 085 30 350 45

Domande su PHP2Shell.

Parla direttamente con un tecnico 085 30 350 45 Anche se non sei ancora cliente

Cos'è esattamente PHP2Shell?

Il soprannome di due vulnerabilità in PHP: CVE-2026-109618 e CVE-2026-109619, entrambe con un punteggio di 9,2 su 10. Un aggressore può utilizzarle per eseguire il proprio codice sul tuo server senza necessità di login. Leggi la spiegazione completa →

Il mio sito non ha un modulo di caricamento. Sono al sicuro?

No. PHP elabora la richiesta prima ancora che la tua applicazione sia in esecuzione, quindi anche un sito senza modulo di caricamento è vulnerabile.

Noterò qualcosa a causa delle misure temporanee?

Finché il blocco è attivo, i caricamenti di file non funzioneranno, inclusi la libreria multimediale di WordPress e i moduli con allegati. Le pagine normali, il login e le API funzioneranno regolarmente. Rimuoveremo il blocco dopo l’applicazione della patch.

Sono su un hosting condiviso. Cosa devo fare?

Chiedi al tuo hoster quale build di PHP patchata serve il tuo dominio. Se non vuoi occupartene personalmente o vuoi cambiare hoster, possiamo aiutarti noi.

Come faccio a sapere se qualcuno è già entrato?

Puoi capirlo dai log, dai file modificati, dai nuovi cronjob, dalle chiavi SSH e dagli account di gestione. Noi effettueremo questo controllo per te. Se troviamo qualcosa, isoleremo il server e ti aiuteremo con il ripristino.

Utilizzo PHP 8.1 o versioni precedenti

Per queste versioni non è prevista alcuna patch. Manterremo le misure di protezione e pianificheremo insieme un aggiornamento a una versione supportata.

Dal 2008