PHP2Shell è il nome di due vulnerabilità critiche nel motore di PHP: con una sola richiesta, senza login, chi attacca prende il controllo del server.
Colpisce ogni versione dalla 5.4 (2012) in poi. L'exploit è pubblico e gli attacchi sono partiti prima delle patch. Il controllo verifica anche le 10 falle corrette da Node.js lo stesso giorno.
Preferisci parlarne subito? Scrivi ad Alessio su WhatsApp
A cura del team tecnico wmie · Pubblicato il 22 ottobre 2026 · Aggiornato il 22 ottobre 2026
PHP2Shell sono due vulnerabilità nel motore di PHP, CVE-2026-109618 e CVE-2026-109619. Le hanno scoperte ricercatori di Calif e Wiz con l'aiuto dell'intelligenza artificiale, dopo oltre dieci anni nel codice. Sansec e Wiz le valutano 9,2 su 10 (CVSS 4.0): basta una richiesta HTTP, senza password, per eseguire comandi sul server. PHP ha rilasciato le correzioni il 21 ottobre 2026, ma Amazon aveva registrato un primo tentativo di attacco già il 17. Lo stesso 21 ottobre il governo finlandese, l'agenzia olandese per la cybersicurezza e alcune prefetture francesi hanno messo offline i propri siti, riporta Il Post.
Approfondimento: cos'è PHP2Shell e cosa fare adesso →
In aggiornamento · 22 ottobre 2026
Exploit pubblico. Sansec conferma la RCE su WordPress, Magento, Drupal, Joomla e Laravel.
PHP rilascia le patch. Wiz pubblica l'analisi: CVSS 9,2.
Siti offline per prudenza: il governo finlandese, l'agenzia olandese per la cybersicurezza, alcune prefetture francesi e voci di Wikipedia, secondo Il Post.
Cloudflare vede i primi attacchi reali, sei ore prima delle patch.
watchTowr: le informazioni sono trapelate prima dell'embargo, le falle sono reali.
Amazon registra nei suoi honeypot il primo tentativo di attacco, quattro giorni prima dell'annuncio.
Vercel attiva regole firewall per la falla Brotli di Node.js su tutti i progetti.
Node.js corregge 10 falle, 4 gravi, tra cui una RCE. Nessuna correzione per 18, 20, 23 e 25.
ACN e CSIRT Italia pubblicano l'allerta AL07/261021: aggiornare subito.
CISA (USA): applicare subito le patch, la falla permette di eseguire codice senza login.
La Cyber Division dell'FBI avvisa: aggiornare PHP subito.
NSA: tutte le organizzazioni che usano PHP si preparino all'aggiornamento immediato.
La premier giapponese Takaichi Sanae chiede su X di intervenire «stasera»: 350.000 like.
NCSC (UK): scollegare i server che non si possono aggiornare subito.
pixiv sospende il servizio per quattro ore e mezza di manutenzione d'emergenza.
Cloudflare attiva le regole WAF per tutti i clienti, Free incluso.
Post e avvisi pubblicati dal 20 ottobre da agenzie di sicurezza, governi e aziende: ogni voce porta alla fonte originale.
Premier del Giappone
皆様に、今夜に対応して頂きたい大至急のお願いです。 多くのウェブサイトで使用されているPHPに関し、PHPのセキュリティチームが、重大な２件の脆弱性に関する注意喚起を行っています。…
Mostra di più su XTradotto dal giapponese
Una richiesta urgentissima a tutti voi: vi chiedo di intervenire stasera. Sul PHP, usato da moltissimi siti web, il team di sicurezza di PHP ha diffuso un avviso su due vulnerabilità gravi.…
Piattaforma giapponese per illustratori
[Emergency maintenance announcement] To ensure the security of our services, we will be performing emergency maintenance during the following period. ■ Date and time From Wed., October 21st 7:00 pm JST to the early hours of Thurs., October 22nd (scheduled) *Estimated…
Mostra di più su XRisposte29Mi piace1.156
Piattaforma giapponese per illustratori
【緊急メンテナンス終了のお知らせ】 本日実施しておりました緊急メンテナンスは、10月21日（水）23:30に終了いたしました。 現在、対象サービスをご利用いただけます。 ご利用のお客様にはご不便をおかけしましたことをお詫び申し上げます。 ご協力いただき、ありがとうございました。
Tradotto dal giapponese
[Avviso di fine manutenzione d'emergenza] La manutenzione d'emergenza svolta oggi si è conclusa alle 23:30 di mercoledì 21 ottobre. I servizi interessati sono di nuovo utilizzabili. Ci scusiamo con gli utenti per il disagio. Grazie per la collaborazione.
NSA, agenzia per la sicurezza nazionale USA
Effective Immediately, all organizations using PHP for their systems are advised to be prepared for an update addressing two critical vulnerabilities. PHP is widely used for web applications. These vulnerabilities often provide a direct path to the server's file system or…
Mostra di più su XRisposte1.164Mi piace64.350
FBI, divisione cyber
Two critical vulnerabilities have been identified in PHP, a widely used programming language that powers websites and web applications. These vulnerabilities (CVE-2026-109618 and CVE-2026-109619) could allow malicious cyber actors to remotely execute code in PHP core, potentially…
Mostra di più su XRisposte373Mi piace23.376
Agenzia USA per la cybersicurezza
🚨 Organizations should immediately patch critical PHP vulnerabilities CVE-2026-109618 and CVE-2026-109619. These vulnerabilities enable unauthenticated #RCE and affect PHP installations serving web requests. Learn more: 🔗 go.dhs.gov/5Hi
Risposte47Mi piace1.842
Agenzia per la cybersicurezza del Regno Unito
The NCSC is encouraging UK organisations to prepare for immediate updating of systems using PHP. Where immediate remediation is not feasible, organisations should consider taking the system offline until it can be fully mitigated. For more⬇️ ncsc.gov.uk/news/critical-…
Risposte74Mi piace3.411
CTO di Cloudflare
PHP sites behind Cloudflare already have an initial set of WAF rules deployed for the known exploit vectors in these vulnerabilities. The rules are available to all customers, including free. We are seeing early attacks emerging and are updating mitigations as new vectors show…
Mostra di più su XRisposte86Mi piace5.327
Società di ricerca sulla sicurezza
We were all supposed to wait until Thursday at 11am ET. Information has leaked wrt zero-day embargoed RCE vulns in PHP. We can confirm that they're real. CVE-2926-109618/619 We cannot share further information right now. Take this seriously and apply patches when available.
Risposte21Mi piace720
CEO di Vercel
Vercel has proactively rolled out Firewall-level mitigations for today's Node.js RCE vulnerability, in advance of the official patch release. All traffic for all deployments is automatically protected. We're actively monitoring and rolling out managed runtime upgrades.
Risposte92Mi piace1.815
Comando cyber delle forze armate polacche
W związku z pojawieniem się informacji o podatnościach CVE-2026-109618 oraz CVE-2026-109619 związanych z PHP (podatne są wszystkie wersje od 5.4) zalecamy wszystkim podmiotom wykorzystującym tę technologię jej niezwłoczną aktualizację. Wymienione podatności umożliwiają zdalne…
Mostra di più su XTradotto dal polacco
In seguito alle informazioni sulle vulnerabilità CVE-2026-109618 e CVE-2026-109619 legate a PHP (sono vulnerabili tutte le versioni dalla 5.4), raccomandiamo a tutti i soggetti che usano questa tecnologia di aggiornarla senza indugio. Le vulnerabilità elencate consentono da remoto…
Ministero degli Affari interni del Giappone
昨晩、国家サイバー統括室（NCO）からPHPの脆弱性について注意喚起が行われました。 WebサイトやWebシステムを運営・管理する事業者等の皆様は、速やかに必要な対策をお願いします。 ※一般のインターネット利用者の皆様に、特段の対応を求めるものではありません。
Tradotto dal giapponese
Ieri sera il National Cyber Office (NCO) ha diffuso un avviso sulla vulnerabilità di PHP. Gli operatori che gestiscono siti e sistemi web sono invitati ad adottare subito le misure necessarie. * Non si chiede alcuna azione particolare ai normali utenti di internet.
Il percorso esaminato non rappresenta necessariamente gestionali, webmail, altri pool PHP o tutti i nodi. Verifica separatamente ogni runtime autorizzato.
Controlliamo tutto noi
Facciamo l'inventario di quello che gira su PHP, aggiorniamo i server e ti diamo l'elenco di cosa abbiamo sistemato.
PHP ha rilasciato le correzioni il 21 ottobre 2026. Per 7.4, 8.0 e 8.1 esistono solo patch di backport, da compilare o da ricevere dal provider. Lo stesso giorno Node.js ha aggiornato i rami 22, 24 e 26.
| Ramo | Prima versione corretta |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
| PHP 8.1 e precedenti | Nessuna release ufficiale |
| Node.js 26 | 26.12.1 |
| Node.js 24 | 24.22.1 |
| Node.js 22 | 22.23.4 |
| Node.js 25, 23, 20 e 18 | Fuori supporto, nessuna correzione |
Il controllo raccoglie indizi anche quando la versione di PHP è nascosta. Questi indizi non confermano da soli una vulnerabilità.
Il provider può applicare correzioni di sicurezza senza cambiare il numero di versione. Chiedigli di confermare gli aggiornamenti del sito.
Il provider può controllare quale PHP usa davvero il sito e se include le correzioni necessarie.
Vista l'urgenza abbiamo attivato un canale diretto con Alessio su WhatsApp. Controlliamo il sito e tutto quello che gira su PHP: gestionale, e-commerce, webmail. Ti diciamo cosa aggiornare e ce ne occupiamo noi.