PHP2Shell: aggiornare WordPress non è servito a niente. I governi hanno spento i loro siti. Il tuo chi lo protegge?
7 siti web su 10 sono diventati attaccabili dal giorno alla notte. E se il tuo poggia su WordPress, WooCommerce, PrestaShop, Joomla o Drupal, ti riguarda.
21 ottobre 2026.
Paesi Bassi, Finlandia, Francia e Belgio spengono i siti dello Stato. Non li ha violati nessuno: li hanno spenti per evitarlo.
Wikipedia e Internet Archive vanno offline. In Italia, l'Agenzia per la Cybersicurezza Nazionale dirama un'allerta con impatto sistemico alto.
Lo stesso giorno, molti proprietari di siti WordPress hanno fatto la cosa più sensata che conoscevano: hanno aggiornato WordPress, i plugin, il tema.
Non è servito a niente.
E non parliamo di blog, di siti effimeri. Ma di milioni di siti di aziende, business e professionisti in tutto il mondo.
La falla non stava in niente di quello che puoi aggiornare dal pannello di controllo. Stava nelle fondamenta.
Si chiama PHP2Shell. E se il tuo sito poggia su WordPress, WooCommerce, PrestaShop, Joomla o Drupal, ti riguarda.
Perché aggiornare WordPress non è servito a niente
Perché la falla sta in PHP, le fondamenta stesse di WordPress. Gli aggiornamenti di WordPress, dei plugin e del tema non lo toccano.
PHP lo aggiorna chi gestisce il server. Se il sito è su un hosting condiviso, quel qualcuno è il tuo hosting: decide lui quando, e tu, nel migliore dei casi, scegli la versione da un menu.
Fin qui, fastidioso ma risolvibile. Il problema vero sono le versioni vecchie:
PHP 8.2, 8.3, 8.4 e 8.5: la correzione esiste dal 21 ottobre (versioni 8.2.35, 8.3.36, 8.4.27 e 8.5.12).
PHP 8.1 e precedenti: nessun aggiornamento ufficiale. Il CSIRT Italia lo scrive nero su bianco: per queste versioni, fuori supporto, non arriveranno soluzioni. Il team di PHP ha pubblicato solo correzioni minime da compilare a mano, che un hosting condiviso non ti permette di applicare.
Quanti sono? Secondo le statistiche di WordPress.org, più di 1 sito WordPress su 3 gira su una versione di PHP non più supportata.
E c'è un'ultima data da segnare: PHP 8.2 riceve correzioni di sicurezza solo fino al 31 dicembre 2026. Chi oggi ha risolto restando sulla 8.2 ha comprato due mesi di tempo.
Significa che il tuo sito può essere aggiornato, ordinato, perfetto, ma restare esposto a rischio esistenziale e ingressi non autorizzati, per una ragione che dal pannello di WordPress non vedrai mai.
Cos'è PHP2Shell e quali sono i rischi per il tuo sito (in parole semplici)
PHP è il linguaggio che lavora dietro le quinte, sul server, di circa 7 siti web su 10. È il motore di WordPress, WooCommerce, PrestaShop, Joomla, Drupal e Magento.
PHP2Shell è il nome di due falle nel cuore di PHP, catalogate come "CVE-2026-109618" e "CVE-2026-109619". Gravità dichiarata: 9,2 su 10, entrambe.
Cosa permettono: a chiunque, da qualsiasi parte del mondo, di eseguire comandi sul server che ospita il sito. Senza dover conoscere la password. Senza dover possedere un account.
E il codice difettoso c'è da PHP 5.4, del 2012. Più di dieci anni.
Perché salta fuori proprio adesso
E' stata individuata da modelli IA di frontiera di OpenAI e Google. Con questi strumenti, un solo ricercatore ha fatto in una settimana il lavoro che a un team di livello mondiale avrebbe richiesto mesi.
Ora rileggi quella frase dal punto di vista di chi attacca.
Amazon ha registrato un primo tentativo di sfruttamento il 17 ottobre: quattro giorni prima che la falla diventasse pubblica. Nei giorni successivi, Cloudflare e Amazon hanno contato milioni di tentativi.
Il tuo sito è esposto? Il controllo in 4 passaggi
Dieci minuti, niente di tecnico.
Scopri su cosa poggia. WordPress, WooCommerce, PrestaShop, Joomla, Drupal o Magento? Allora poggia su PHP. Se è su una piattaforma gestita, senza server né hosting da amministrare, l'aggiornamento spetta alla piattaforma: chiedi conferma a lei.
Leggi la versione di PHP. In WordPress: Strumenti → Salute del sito → Info → Server. Sono al sicuro le versioni 8.5.12, 8.4.27, 8.3.36, 8.2.35 e successive. Se leggi un numero più basso, non trarre conclusioni: alcuni hosting applicano la correzione senza cambiare il numero di versione. Serve una conferma scritta.
Scrivi a chi gestisce il server. Tre domande, per iscritto: il messaggio pronto è qui sotto.
Controlla che nessuno sia già entrato. Aggiornare chiude la porta. Non ti dice se qualcuno è già entrato. I tentativi sono partiti il 17 ottobre, e il CSIRT Italia raccomanda di analizzare i log a ritroso anche dopo l'aggiornamento. Segnali da non ignorare: utenti amministratori che non conosci, file modificati o comparsi dal nulla, reindirizzamenti verso altri siti.
Il messaggio da mandare al tuo hosting
Copia, incolla, completa le parti tra parentesi quadre.
Oggetto: PHP2Shell, verifica per (tuodominio.it)
Buongiorno, alla luce dei recenti avvenimenti, vi chiedo una conferma su tre elementi fondamentali per il sito (tuodominio.it). - La versione di PHP in uso include le correzioni per CVE-2026-109618 e CVE-2026-109619? - Dopo l'aggiornamento, Apache, PHP-FPM e gli altri processi PHP sono stati riavviati? - Avete controllato i log dal 17 ottobre 2026 in poi per richieste anomale, errori di memoria esaurita o processi PHP interrotti? Grazie, Mario ROSSI
Oppure preferisci che lo controlli io? Mandami l'indirizzo del sito su WhatsApp: entro 24 ore ti dico su cosa poggia e se risulta esposto.
La domanda giusta non è “come chiudo questa falla?”
Guarda il modello, non la falla.
Il sito tradizionale funziona così: un server, una versione di PHP, un CMS, un tema e un plugin per ogni funzione. Ognuno con i suoi aggiornamenti e i suoi tempi.
Ogni pezzo è una porta. E il mazzo di chiavi non lo hai tu.
A luglio era toccato direttamente a WordPress, con falle sfruttate in massa. A ottobre è toccato a PHP, quindi ben oltre Wordpress.
E con le IA che trovano in una settimana quello che prima richiedeva mesi, la prossima falla non aspetterà dieci anni, e nemmeno dieci settimane.
Significa: con un sito tradizionale, la sicurezza ormai è una necessita. E non esiste sicurezza senza innovazione. Le emergenze non hanno nemmeno preavviso, le scopri soltanto dal telegiornale, o le vivi in prima persona.
Purtroppo la stragrande maggioranza delle agenzie sviluppa siti per i propri clienti affidandosi ancora a queste piattaforme, inefficienti e desuete ormai da anni.
Chi mi conosce e lavora con me sa che ne ho sempre vivamente sconsiglio l'utilizzo.
Il motivo adesso è sotto gli occhi di tutti.
Cosa è invece Infrastruttura Digitale®
Infrastruttura Digitale® parte da un principio: la sicurezza del tuo sito non deve essere un compito tuo.
Non poggia su un'installazione PHP da tenere aggiornata. Nessun server da amministrare, nessuna versione da rincorrere, nessun plugin di terze parti da installare: le funzioni sono integrate e mantenute insieme, come un unico sistema.
La sicurezza è gestita a monte, a livello di piattaforma, h24. Quando esce una falla, la correzione arriva lì, una volta per tutti i siti, senza che tu debba saperlo.
Il 21 ottobre, sui siti costruiti con Infrastruttura Digitale® non c'era niente da fare. Nessuna versione di PHP da controllare. Nessuna patch da installare. Nessun sito da spegnere.
Una precisazione, perché la meriti: nessuna tecnologia è invulnerabile, e diffida di chi te lo promette. La differenza sta in tre cose: chi se ne occupa, quanto in fretta, e se tocca a te saperlo.
La differenza, in una tabella
Sito tradizionale (PHP + plugin) | Infrastruttura Digitale® | |
Chi aggiorna il motore del sito | Tu, la tua agenzia o il tuo hosting | La piattaforma, a monte, h24 |
Plugin di terze parti | Uno per ogni funzione | Non servono: le funzioni sono integrate |
Quando esce una falla critica | Te ne accorgi dalle notizie | Non devi saperlo |
Dati in transito e a riposo | Dipende da come è configurato il server | HTTPS (TLS 1.2+) con SSL automatico, crittografia AES-256 |
Pagamenti | Dipende dal plugin scelto | Conformità PCI DSS Livello 1 e protezione antifrode |
Standard di sicurezza e privacy | Da verificare caso per caso | SOC 2 Tipo 2, ISO, GDPR |
Disponibilità | Dipende dal piano di hosting | Hosting multi-cloud, uptime 99,98% |
Il 21 ottobre 2026 | Aggiorna, verifica, spera | Niente da fare |
La sicurezza è il pavimento. Sopra, costruisco il resto:
CRM e automazioni: ogni contatto entra in un sistema, viene seguito, non si perde.
E-commerce e pagamenti: vendi in Italia e all'estero, in più valute, da un solo inventario.
SEO e GEO: visibilità su Google e nelle risposte di ChatGPT, Gemini e Perplexity, misurata e migliorata nel tempo.
Un unico pannello, anche da smartphone: sito, contatti, vendite, messaggi.
Un solo responsabile: io. Dalla diagnosi ai risultati, senza passaggi di mano.
Stai valutando di rifare il sito? Parti da qui: Sito web tradizionale vs Infrastruttura Digitale®: differenze e costi reali.
Cosa fare adesso (due soluzioni concrete)
Opzione A: il controllo PHP2Shell gratuito
Mandami l'indirizzo del tuo sito su WhatsApp. Entro 24 ore ti dico su cosa poggia, se risulta esposto e cosa chiedere, parola per parola, a chi lo gestisce. Ti risponderò personalmente.
Opzione B: Ecografia Digitale® (190 €)
Se il controllo rivela una versione di PHP fuori supporto, o stavi già pensando di rifare il sito, mettere una toppa su fondamenta da rifare non ha senso. Con l'Ecografia Digitale® vengono analizzati il tuo sito, base tecnica, prestazioni, SEO e conversioni. In 48 ore ricevi il referto scritto e il piano d'azione: cosa sistemare, cosa rifare e in che ordine.
Black October: perché i governi hanno staccato la spina
Gli addetti ai lavori l'hanno chiamato Black October: una serie di incidenti informatici ravvicinati, con PHP2Shell al centro.
La reazione dice tutto sulla gravità:
Stati Uniti: la NSA ha consigliato a chi non poteva aggiornare subito di mettere il sito offline.
Unione europea: Commissione europea, ENISA, CERT-EU, Europol e la rete dei CSIRT nazionali hanno diffuso un avviso congiunto.
Germania: alcuni ospedali hanno sospeso i servizi online per qualche ora.
Italia: il CSIRT dell'ACN ha pubblicato l'allerta AL07/261021. Gravità critica, impatto sistemico alto, e l'indicazione di valutare la messa offline dei servizi che non si possono aggiornare.
Quando non sai con esattezza su cosa poggia ogni pagina che pubblichi, la sola mossa sicura è spegnere tutto. Ed è quello che hanno fatto in molti.
Se uno Stato, con un'agenzia per la cybersicurezza alle spalle, ha dovuto spegnere i propri siti, la domanda per te è una sola: chi controlla il tuo? E quando l'ha fatto l'ultima volta?
Domande frequenti
Cos'è PHP2Shell?
PHP2Shell è il nome di due vulnerabilità critiche nel motore di PHP, CVE-2026-109618 e CVE-2026-109619, con gravità 9,2 su 10. Permettono a un attaccante di eseguire codice sul server senza autenticarsi. Le correzioni sono uscite il 21 ottobre 2026 nelle versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35.
Il mio sito WordPress è a rischio?
Sì, se il server usa una versione di PHP precedente a quelle corrette, qualunque sia la versione di WordPress. Il rischio maggiore riguarda PHP 8.1 e precedenti, per cui non esiste un aggiornamento ufficiale.
Ho aggiornato WordPress e i plugin. Basta?
No. La falla è in PHP, un piano sotto WordPress. Va aggiornato PHP, e lo fa chi gestisce il server.
Il mio hosting dice che è tutto a posto. Posso fidarmi?
Sì, ma per iscritto. Chiedi conferma su tre punti: versione con le correzioni, processi PHP riavviati, log controllati dal 17 ottobre in poi.
Il mio sito non usa PHP. Devo preoccuparmi?
Di PHP2Shell no. Controlla però quello che hai fuori dalla piattaforma: un blog, una landing page o un vecchio sito ospitati altrove seguono le proprie regole.
Cos'è il Black October?
È il nome che gli esperti di sicurezza informatica hanno dato agli incidenti ravvicinati di ottobre 2026, con PHP2Shell al centro: siti governativi spenti per precauzione, aggiornamenti d'emergenza, milioni di tentativi di attacco.
Chi ha scoperto PHP2Shell?
I ricercatori di Calif e Wiz, insieme a OpenAI, con l'aiuto di modelli di intelligenza artificiale. Le falle sono state corrette in coordinamento con il team di PHP.
Commenti