Che cos’è PHP2Shell?
PHP2Shell riunisce CVE-2026-109618 e CVE-2026-109619, difetti di memoria in PHP con CVSS v4.0 9,2. Sono state dimostrate esecuzione di codice senza autenticazione e divulgazione della memoria. Le correzioni risalgono al 21 ottobre 2026. È coinvolto l’interprete, non solo un CMS.
Quali installazioni controllare?
Aggiornare tutte le installazioni Web: FPM, mod_php, php-cgi, FrankenPHP e LiteSpeed. WordPress, Drupal, Joomla, MediaWiki, Laravel e applicazioni proprie condividono il rischio. Includere pannelli, dispositivi, ambienti di prova e container. Aggiornare l’app non sostituisce PHP.
FPM è esente?
No. FPM termina il figlio se l’avvio della richiesta fallisce, bloccando alcune sequenze iniziali. Restano percorsi applicativi e tra richieste. La dimostrazione mod_php non implica sfruttabilità identica ovunque, ma FPM non esonera dalla patch.
PHP 8.1 e precedenti
Nessun rilascio ordinario PHP. Backport minimi dei sorgenti per 7.4, 8.0 e 8.1 sono eccezionali: compilazione e verifica spettano all’operatore. OS o LTS possono mantenere pacchetti. Ricerca da 5.4 con condizioni diverse. Migrare e verificare le soluzioni provvisorie.
PHP2Shell in parole semplici
PHP è il motore di WordPress, Laravel e plugin. Aggiornare un plugin non aggiorna PHP. Due errori di memoria possono trasformare la pulizia anomala di una richiesta in divulgazione o esecuzione di codice. Il controllo pubblico dà indizi; l’hosting deve confermare runtime Web e patch.
Strumenti PHP2Shell →Evidenze per runtime PHP
| Runtime | CVE-2026-109618 ↗ | CVE-2026-109619 ↗ |
|---|---|---|
| Apache mod_php | RCE dimostrata | RCE dimostrata |
| PHP-FPM | Rischio dipendente dall’applicazione; nessun exploit FPM completo dimostrato per questa CVE | RCE dimostrata tramite un percorso applicativo adatto |
Aggiornare anche php-cgi, FrankenPHP e LiteSpeed. PHP raccomanda tutti gli ambienti Web. La tabella distingue percorsi dimostrati ed esposizione generale.