// MACITYNET — CYBERSECURITY
PHP2Shell, siti offline anche in Italia: cosa deve fare chi usa WordPress
Questo sito contiene link di affiliazione per cui può essere compensato
Siti messi offline per impedire accessi abusivi, aggiornamenti urgenti e un problema che riguarda anche chi usa WordPress. Due vulnerabilità critiche in PHP, il software che fa funzionare una larga parte del web, hanno spinto diversi gestori a sospendere temporaneamente i servizi. È successo anche in Italia: il 21 ottobre GARR ha annunciato di aver isolato alcune delle proprie piattaforme per applicare le correzioni. Le falle, conosciute insieme come PHP2Shell, possono consentire a un aggressore di eseguire codice sui server vulnerabili senza autenticarsi.
Gli aggiornamenti sono disponibili dal 21 ottobre. Per chi gestisce un sito, il passaggio decisivo è verificare con il proprio hosting che sia stato corretto PHP sul server: aggiornare soltanto WordPress, il tema o i plugin non elimina queste vulnerabilità.
La sospensione serve a ridurre l’esposizione durante gli interventi. Nel suo avviso del 21 ottobre, GARR spiega di aver agito in via precauzionale per evitare accessi malevoli da remoto, avviando l’applicazione delle patch e il ripristino graduale dei servizi. La comunicazione riguarda quindi una misura di protezione e non annuncia un’avvenuta violazione.
Anche la National Security Agency statunitense raccomanda di mettere offline i sistemi quando non sia possibile aggiornarli immediatamente, fino alla mitigazione del rischio. L’urgenza deriva dalla possibilità di attaccare servizi accessibili da Internet senza disporre in precedenza di un account.
PHP è un linguaggio di programmazione eseguito sui server: permette di generare pagine, elaborare richieste e far funzionare applicazioni web. È alla base di piattaforme come WordPress. Quando apriamo un sito, parte del lavoro può essere svolta da PHP sul server che lo ospita.
Secondo W3Techs, al 22 ottobre PHP è utilizzato dal 69,3% dei siti dei quali è noto il linguaggio lato server. La percentuale spiega la portata dell’allerta, ma non misura quanti siti siano stati attaccati o risultino concretamente sfruttabili.
Le vulnerabilità sono identificate dai codici CVE-2026-109618 e CVE-2026-109619. Entrambe hanno una gravità di 9,2 su 10 nella scala CVSS 4.0 e riguardano la gestione della memoria da parte dell’interprete PHP.
La prima può emergere quando PHP esaurisce la memoria disponibile: l’interruzione lascia alcuni dati interni incompleti, che nelle operazioni successive possono essere trattati come validi. La seconda riguarda riferimenti a memoria già liberata, che possono sopravvivere alla richiesta originaria ed essere riutilizzati durante una richiesta successiva. In entrambi i casi, il problema può andare oltre un arresto del servizio e permettere l’esecuzione di codice dell’aggressore.
Il bollettino ufficiale PHP considera a rischio tutte le installazioni che gestiscono richieste web, comprese PHP-FPM e Apache con mod_php. Per quest’ultimo indica il rischio più elevato: è stato dimostrato un attacco che può partire prima dell’esecuzione del codice dell’applicazione.