<?php Controllo di sicurezza PHP indipendente
Il Suo PHP è interessato da PHP2Shell?
Due falle critiche nello stesso PHP consentono l’esecuzione di codice remoto. Sono state corrette il 21 ottobre 2026. Verifichi che cosa rivela un sito web sulla sua versione di PHP, oppure incolli una stringa di versione, e scopra esattamente cosa fare.
- Passivo: una normale richiesta, nessun exploit
- Gratuito, senza registrazione, senza pubblicità
- Basato su php.net e sugli avvisi ufficiali
2Verifica una versione
Valutato nel Suo browser: non ci viene inviato nulla. Una versione per riga, fino a 20.
01 · php.net · 2026-10-23
Versioni corrette
| Ramo | Corretta in | Stato del ramo |
|---|---|---|
| PHP 8.5 | 8.5.12 | Supporto attivo |
| PHP 8.4 | 8.4.27 | Supporto attivo |
| PHP 8.3 | 8.3.36 | Solo correzioni di sicurezza |
| PHP 8.2 | 8.2.35 | Solo correzioni di sicurezza — fine vita il 31 dic 2026 |
| PHP 8.1 · 8.0 · 7.x · 5.x | Nessun rilascio ufficiale | Fine vita — nessun rilascio dal progetto PHP |
Fonte: bollettino di sicurezza di php.net, 21 ottobre 2026. Ultima verifica: 2026-10-23.
Che cos’è PHP2Shell?
PHP2Shell è il nome dato dai ricercatori a due vulnerabilità del motore PHP: CVE-2026-109618 (corruzione della memoria quando PHP esaurisce la memoria durante l’analisi di una richiesta) e CVE-2026-109619 (stato interno che sopravvive da una richiesta alla successiva sullo stesso worker). Entrambe hanno un punteggio CVSS v4.0 di 9.2.
Un attaccante non autenticato può eseguire codice sul server oppure leggere la memoria del processo PHP — comprese password, token di sessione, chiavi API e certificati appartenenti ad altre richieste — senza eseguire alcun codice. Secondo php.net riguardano PHP quando serve richieste web: PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed. I ricercatori hanno dimostrato attacchi contro WordPress, Drupal e Joomla, ma non è necessaria alcuna applicazione specifica: anche una semplice pagina «Hello World» su un PHP interessato è esposta.
Cosa fare ora
- Aggiorni a 8.5.12, 8.4.27, 8.3.36 o 8.2.35, oppure al pacchetto corretto della Sua distribuzione.
- Riavvii ogni processo PHP: PHP-FPM, Apache, worker delle code, container. Fino ad allora l’aggiornamento non è attivo.
- Verifichi ogni PHP sul server: i pannelli installano spesso più versioni affiancate.
02 · shell
Verifica sul server stesso
Una verifica del sito web vede solo ciò che il server sceglie di rivelare. Sul server, questi comandi danno la risposta reale:
# versione del PHP predefinito
php -v
# altre versioni di PHP installate da pannelli o pacchetti
ls -d /usr/bin/php* /usr/sbin/php-fpm* /opt/alt/php*/usr/bin/php /opt/cpanel/ea-php*/root/usr/bin/php /opt/plesk/php/*/bin/php 2>/dev/null
# impostazioni relative alle mitigazioni parziali
php -i | grep -E 'session.upload_progress.enabled|post_max_size|memory_limit|fatal_error_backtraces'
# ciò che il Suo sito rivela ai visitatori
curl -sI https://il-suo-sito.com/ | grep -i -E '^(x-powered-by|server):'03 · FAQ
Domande comuni
Quali versioni di PHP sono interessate?
Tutte le versioni precedenti a 8.5.12, 8.4.27, 8.3.36 e 8.2.35 nei rami supportati. PHP 8.1 e precedenti sono a fine vita e non ricevono rilasci dal progetto PHP; li consideri interessati, a meno che il Suo fornitore non confermi una correzione tramite backport.
Il mio sito non mostra la versione di PHP. Sono al sicuro?
Non necessariamente. Nascondere la versione (expose_php = Off) è una buona pratica, ma non corregge nulla. Verifichi sul server con php -v o chieda al Suo provider.
Lo strumento mostra una versione vecchia, ma il mio hosting dice che è aggiornata. Chi ha ragione?
Forse entrambi. Distribuzioni Linux come Debian, Ubuntu e RHEL applicano spesso backport delle correzioni di sicurezza senza modificare il numero di versione. Chieda al Suo hosting quale build del pacchetto è installata e se il suo changelog menziona CVE-2026-109618 e CVE-2026-109619.
WordPress, Laravel o il mio CMS sono interessati?
Le falle sono nello stesso PHP, quindi qualsiasi applicazione eseguita su un PHP interessato è esposta. I ricercatori hanno dimostrato attacchi senza autenticazione contro WordPress, Drupal e Joomla, ma erano solo esempi: basta anche una semplice pagina «Hello World». Aggiornare WordPress o i plugin non risolve: è PHP che va aggiornato.
Possono trapelare dati anche se non è stato eseguito codice?
Sì. CVE-2026-109619 può divulgare la memoria del processo PHP — password, token di sessione, chiavi API e certificati di altre richieste — senza che l’attaccante esegua codice. Queste fughe non lasciano file e sono difficili da rilevare, quindi cambi i segreti di ogni sito che ha eseguito una versione interessata su Internet.