Vai al contenutoistheinternetok
Tutti gli incidenti

Falla di sicurezza·Critica

PHP2Shell: due falle critiche in PHP

Fix disponibileGli aggressori la usano giàRiguarda chi ha un sito
PHP

Cosa cambia per te

Alcuni siti governativi sono stati messi offline per precauzione.

PHP, il linguaggio dietro buona parte dei siti web, ha corretto due falle che permettono a un aggressore di prendere il controllo di un server web con una sola richiesta. Diversi governi hanno messo offline i propri siti per precauzione; i visitatori non devono fare nulla, i proprietari di siti devono aggiornare PHP subito.

Inizio: 20 ott 2026Aggiornato: 23 ott 2026

Pubblica su X

Cosa devo fare?

Tu
Non c'è nulla da fare. Alcuni siti governativi potrebbero restare offline per un po'.
Se gestisci un sito o un'app
Aggiornate PHP alla 8.5.12, 8.4.27, 8.3.36 o 8.2.35 (o al pacchetto corretto della vostra distribuzione; controllate il suo changelog per gli identificativi CVE) e riavviate tutti i worker. PHP 8.1 e precedenti non ricevono correzioni ufficiali. Misure come session.upload_progress.enabled=0 riducono soltanto l'esposizione; aggiornare è l'unica soluzione completa.

Cosa è coinvolto

CVE-2026-109618CVE-2026-109619Punteggio di gravità 9.2 su 10

Cronologia

  1. Fix disponibile · 23 ott 2026

    Cloudflare estende le sue regole a un problema correlato sull'avanzamento del caricamento di sessione in PHP, la CVE-2026-115560.

    Cloudflare

  2. Fix disponibile · 21 ott 2026

    I siti web di governi di diversi paesi, tra cui Germania, Finlandia, Belgio, Paesi Bassi e Francia, vengono messi offline per precauzione.

    Australian Associated Press

  3. Fix disponibile · 21 ott 2026

    PHP rilascia la 8.5.12, la 8.4.27, la 8.3.36 e la 8.2.35, che correggono la CVE-2026-109618 e la CVE-2026-109619. Tutte le installazioni PHP che servono richieste web sono interessate; il rischio è massimo con Apache mod_php.

    php.net

  4. Mitigato · 21 ott 2026

    Cloudflare attiva regole WAF contro le falle su tutti i piani, compreso quello gratuito, dalle 03:02 UTC, e segnala traffico di attacco diretto ai suoi clienti dopo la fuga dei dettagli.

    Cloudflare

  5. Identificato · 20 ott 2026

    PHP annuncia per il 21 ottobre una release di sicurezza critica che corregge due vulnerabilità con punteggio CVSS v4.0 di 9.2.

    php.net

Fonti

Collegati