Cerca
Meteo
Falla PHP, rischio hacker per milioni di siti internet
La vulnerabilità che scuote il mondo digitale
Un problema nascosto nel codice di uno dei linguaggi più diffusi del web può rappresentare una minaccia per una quantità enorme di applicazioni.
Il 21 ottobre 2026 sono state rese pubbliche due vulnerabilità critiche di PHP, identificate dai codici CVE-2026-109618 e CVE-2026-109619.
Le falle sono conosciute complessivamente come PHP2Shell.
La loro gravità deriva dalla possibilità, in determinate condizioni, di consentire ad aggressori non autenticati di eseguire codice da remoto oppure accedere a informazioni sensibili presenti nella memoria dei processi.
PHP è utilizzato da numerose piattaforme di gestione dei contenuti, servizi digitali, applicazioni aziendali e portali di commercio elettronico.
Il 70% dei siti è davvero vulnerabile
L’allarme ha assunto dimensioni globali perché PHP viene utilizzato da una percentuale molto elevata dei siti internet.
Ma diffusione del linguaggio e presenza effettiva della vulnerabilità non sono la stessa cosa.
Non significa che il 70% dei siti sia stato attaccato con successo o che ogni piattaforma PHP sia necessariamente compromessa.
L’esposizione dipende dalla versione installata, dalla configurazione del sistema e dalla disponibilità delle correzioni di sicurezza.
La gravità del problema rimane comunque elevata.
I due difetti hanno ottenuto un punteggio CVSS 4.0 pari a 9,2, corrispondente a un livello di criticità molto alto.
L’intelligenza artificiale accelera la scoperta delle falle
La vicenda assume un rilievo particolare per il contributo degli strumenti di intelligenza artificiale alle attività di ricerca.
L’individuazione delle criticità ha coinvolto ricercatori specializzati e soggetti impegnati nello sviluppo di tecnologie avanzate di analisi del software.
Il problema riguarda anche il futuro della cybersicurezza.
L’AI può aiutare a scoprire vulnerabilità complesse prima che vengano sfruttate.
Ma gli stessi progressi possono agevolare chi cerca punti deboli da colpire.
La sfida diventa quindi una corsa tra la capacità di identificare gli errori e quella di correggerli tempestivamente.
Quali versioni PHP devono essere aggiornate
Le correzioni distribuite il 21 ottobre 2026 richiedono il passaggio a versioni supportate e aggiornate del linguaggio.
Per le principali linee interessate, le release correttive sono:
-
PHP 8.5.12 o successiva.
-
PHP 8.4.27 o successiva.
-
PHP 8.3.36 o successiva.
-
PHP 8.2.35 o successiva.
Le versioni più vecchie, ormai fuori supporto, richiedono un percorso di migrazione.
L’aggiornamento del solo CMS non garantisce la correzione di una vulnerabilità presente nell’ambiente PHP del server.
È necessario controllare tutti i componenti dell’infrastruttura.
Testate giornalistiche, e-commerce e imprese: che cosa rischiano
Per le organizzazioni che dipendono dai propri portali, le conseguenze di un’intrusione possono essere significative.
Un aggressore potrebbe compromettere dati, alterare pagine, interrompere servizi o utilizzare il sistema violato per ulteriori attività malevole.
I rischi coinvolgono anche le testate giornalistiche online, che devono garantire continuità editoriale, integrità dei contenuti e protezione delle informazioni personali.
Per questo è necessario verificare le versioni installate, applicare le patch, controllare i registri degli accessi e mantenere copie di sicurezza aggiornate.
La sicurezza non può essere ridotta all’installazione occasionale di un antivirus.
La vicenda PHP2Shell dimostra che anche una tecnologia consolidata può diventare il punto debole di milioni di servizi.
La differenza tra un rischio gestibile e una crisi informatica può dipendere dalla rapidità dell’intervento tecnico.
Le fotografie visualizzate sono riferimenti di repertorio di corredo all’articolo, meramente indicative.
© RIPRODUZIONE RISERVATA
