Il 21 ottobre 2026 gli sviluppatori di PHP hanno distribuito patch d'urgenza per due vulnerabilità critiche che permettono a un aggressore di eseguire comandi sui server attraverso richieste via internet. Le falle, battezzate PHP2Shell, raggiungono 9,2 su 10 nella scala CVSS e toccano il linguaggio su cui gira gran parte del web pubblico.
Secondo La Repubblica.it, che per prima ha ricostruito la vicenda, i difetti sono identificati come CVE-2026-109618 e CVE-2026-109619. Il problema non sta in un singolo sito scritto male: sta nel motore stesso del PHP, il linguaggio che genera le pagine, gestisce gli accessi e parla con i database. Alla base di WordPress, Drupal e Joomla, quel motore muove piattaforme pubbliche, media online e negozi digitali. Alcuni siti governativi e servizi pubblici europei sono stati spenti per precauzione.
Il web è PHP, e nessuno se ne cura finché non brucia
W3Techs misura l'uso di PHP nel 69,3% dei siti di cui riesce a identificare il linguaggio. Due terzi del web poggiano su un pezzo di infrastruttura mantenuto da una comunità ristretta di sviluppatori, spesso sottopagati o volontari, mentre sopra di loro si arricchiscono piattaforme, multinazionali del software e giganti della distribuzione. Il paradosso è quello di sempre: il lavoro collettivo che tiene in piedi il sistema viene lasciato a se stesso, e quando la crepa si apre tutti corrono ai ripari.
Il primo difetto riguarda la gestione della memoria: quando PHP esaurisce la memoria assegnata durante una richiesta, può interrompere un'operazione e trattare come validi dati preparati solo in parte. Il secondo caso è ancora più insidioso: un errore grave può lasciare riferimenti a memoria già liberata, e una richiesta successiva può usare informazioni residue fino a corrompere il sistema. I ricercatori hanno dimostrato che da lì si arriva all'esecuzione di codice a distanza e, in certi scenari, alla lettura di dati sensibili.
L'IA trova le falle, e potrebbe anche sfruttarle
Una delle scoperte è arrivata da Calif, società specializzata nella ricerca di vulnerabilità. Il ricercatore Ryan A. ha esaminato PHP con l'aiuto di GPT-5.6 Sol, modello sviluppato da OpenAI, e l'11 agosto ha segnalato un metodo concreto per eseguire codice da remoto. La ricerca è partita il 30 luglio ed è entrata in Patch the Planet, l'iniziativa con cui OpenAI coordina controlli di sicurezza su software ampiamente usati.
In parallelo, come riporta IlSoftware, Wiz ha individuato le stesse vulnerabilità per conto proprio e le ha comunicate ai manutentori il 24 agosto, usando i modelli GPT-5.6 Sol e Gemini 4 Argon di Google. I ricercatori hanno riprodotto l'esecuzione di codice su installazioni di WordPress e Drupal. Lo stesso strumento che aiuta a chiudere la porta può aiutare a forzarla: questa è la doppia faccia dell'IA liberata senza regole, la stessa che a luglio la Casa Bianca ha lasciato circolare dopo la fase di restrizioni sulla famiglia GPT-5.6.
Il ritardo che la PHP Foundation chiama fallimento strutturale
La PHP Foundation, l'organizzazione che finanzia lo sviluppo del linguaggio, ha ammesso che i primi segnali del problema erano emersi già nel 2024, durante una verifica esterna di sicurezza. Gli sviluppatori avevano studiato soluzioni, ma i rischi per compatibilità, prestazioni ed estensioni, unite al numero ridotto di specialisti, hanno rallentato tutto. La Fondazione stessa ha definito questo accumulo di ritardo un fallimento strutturale.
Le dimostrazioni prodotte nell'agosto 2026 hanno cambiato la musica: una vulnerabilità che richiedeva operazioni complesse è diventata sfruttabile con procedure concrete. Le IA hanno aiutato gli specialisti a esaminare il codice e adattare le verifiche a installazioni diverse. Da lì, le correzioni sono rimaste nelle mani degli sviluppatori di PHP.
La fuga di notizie e la corsa alle patch
Il calendario è saltato alla vigilia. Il 20 ottobre 2026 gli identificativi delle due vulnerabilità hanno iniziato a girare online, e Tom's Hardware racconta che la divulgazione è esplosa dopo un messaggio poi cancellato su Hacker News, insieme all'immagine di uno strumento di attacco chiamato PHP2Shell che dichiara di funzionare da PHP 5.4.0 in poi. Un video dimostrativo è stato diffuso per errore dalla stessa Calif. Gli sviluppatori hanno anticipato le correzioni dal 22 al 21 ottobre, mentre Cloudflare attivava filtri contro gli attacchi e segnalava tentativi di sfruttamento verso i propri clienti. Il Centro olandese per la cybersicurezza ha pubblicato indicazioni per individuare i sistemi esposti.
Chi ci rimette, come sempre, sono i servizi pubblici, le piccole realtà, le cooperative e i progetti di quartiere che gestiscono server senza team di sicurezza dedicati. I grandi provider si proteggono; il resto del popolo digitale si arrangia.
Cosa devono fare gli amministratori
Le versioni corrette sono PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12. Gli amministratori devono aggiornare il motore PHP sui server e controllare i pacchetti distribuiti dai fornitori. Per le versioni più vecchie esistono correzioni dedicate o percorsi di migrazione. Ubuntu ha annunciato aggiornamenti per le proprie versioni supportate. La verifica di una compromissione effettiva richiede analisi specifiche dei server, perché il traffico sospetto osservato finora descrive tentativi, non intrusioni confermate.
Domande frequenti
Cosa è PHP2Shell?
È il nome pubblico delle due vulnerabilità critiche CVE-2026-109618 e CVE-2026-109619, con gravità 9,2 su 10 nella scala CVSS, che consentono in certe condizioni l'esecuzione di comandi sui server via internet.
Quali versioni di PHP bisogna installare?
Le versioni corrette rilasciate il 21 ottobre 2026 sono PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12.
Perché il problema riguarda così tanti siti?
PHP è il linguaggio alla base di WordPress, Drupal e Joomla, e W3Techs ne misura l'uso nel 69,3% dei siti di cui identifica la tecnologia: le falle stanno nel motore, non nel codice dei singoli siti.
Cosa succede ora?
Le patch sono distribuite, Cloudflare ha attivato filtri contro i tentativi di sfruttamento e gli amministratori devono aggiornare i server entro breve tempo, perché gli attacchi sono già in corso verso alcuni clienti.