La risposta breve
Il 25 ottobre 2026 il CSIRT Italia dell’Agenzia per la cybersicurezza nazionale (ACN) ha diffuso l’allerta AL01/261025/CSIRT-ITA su PHP2Shell: su 741.523 servizi PHP rilevati in Italia, 285.149 girano su versioni potenzialmente vulnerabili. È l’81,9% dei servizi di cui è stato possibile identificare la versione; solo 62.981 risultano aggiornati.
Le falle consentono a un attaccante non autenticato di eseguire codice sul server, quindi di rubare dati, modificare pagine o installare malware. Le correzioni esistono per i rami supportati di PHP, ma chi è fermo a PHP 8.1 o a versioni più vecchie non ha un pacchetto da installare: per questi siti la strada è una modernizzazione dell’applicazione verso un runtime supportato, non una semplice patch.
Che cosa dicono i numeri dell’ACN?
Il CSIRT Italia ha incrociato i dati di monitoraggio di Censys con i servizi web raggiungibili dall’Italia. Dei 741.523 servizi PHP individuati, per 348.130 il server dichiara la versione in uso. Di questi, 285.149 restano su release precedenti alle correzioni: l’81,9%. Detto al contrario, a quattro giorni dalle patch solo il 18% circa dei servizi verificabili risultava aggiornato.
L’Agenzia stessa invita a leggere il dato con cautela. Alcuni sistemi possono aver ricevuto le correzioni senza che cambi il numero di versione, per esempio tramite i pacchetti delle distribuzioni Linux che applicano le patch al ramo esistente. Il conteggio, quindi, è una stima dell’esposizione, non un elenco di siti compromessi. Resta però un ordine di grandezza che, come ha sottolineato Il Sole 24 Ore, riguarda una quota enorme del web italiano, dai siti istituzionali ai piccoli e-commerce.
Per la parte operativa l’ACN non si è limitata al bollettino: secondo Adnkronos sta inviando notifiche dirette ai gestori di circa 60mila domini. Chi riceve la comunicazione non dovrebbe archiviarla come spam tecnico.
| Dato (al 25 ottobre 2026) | Valore |
|---|---|
| Servizi PHP rilevati in Italia | 741.523 |
| Servizi con versione identificabile | 348.130 |
| Su versioni potenzialmente vulnerabili | 285.149 (81,9%) |
| Già aggiornati | 62.981 |
| Domini a cui l’ACN invia notifiche | circa 60.000 |
Quali falle sono coinvolte e quali versioni le correggono?
PHP2Shell è il nome dato a due vulnerabilità di esecuzione remota di codice nell’interprete PHP, CVE-2026-109618 e CVE-2026-109619, con punteggio di gravità 9,2. Non stanno in un plugin o in un framework ma nel runtime: per questo coinvolgono allo stesso modo WordPress, Laravel, Symfony, Drupal e il codice scritto su misura. Il progetto PHP le ha corrette il 21 ottobre nelle release 8.5.12, 8.4.27, 8.3.36 e 8.2.35, un giorno prima del previsto, dopo che dettagli e video di un exploit erano circolati in rete.
L’allerta italiana aggiunge un elemento che rende la situazione più delicata: una terza falla, CVE-2026-115560, per cui la correzione non è ancora disponibile. In attesa della patch l’ACN indica di disattivare subito il parametro session.upload_progress.enabled, coinvolto nell’attacco e attivo per impostazione predefinita. Secondo l’Agenzia sono già in corso tentativi di sfruttamento e circolano proof of concept pubblici.
Cosa devono fare oggi le aziende italiane?
Le raccomandazioni dell’ACN sono quattro e seguono un ordine preciso. Le riportiamo con qualche indicazione pratica su come applicarle in un’azienda che ha più siti o fornitori diversi.
- Aggiornare subito. Portare ogni installazione PHP esposta su web a 8.5.12, 8.4.27, 8.3.36 o 8.2.35, partendo dai servizi raggiungibili da internet. Vale anche per hosting condivisi, container e appliance di terze parti che includono PHP.
- Disattivare
session.upload_progress.enabled. È la mitigazione indicata per CVE-2026-115560, da applicare anche sui server già aggiornati finché non esce la correzione. - Attivare regole WAF in blocco. Dove c’è un web application firewall, le regole per PHP2Shell vanno messe in modalità di blocco, non solo di rilevamento.
- Spegnere ciò che non si può proteggere. Se un servizio non può essere aggiornato né mitigato in tempi brevi, l’ACN raccomanda di valutarne la disattivazione.
Dopo l’aggiornamento conviene controllare i log alla ricerca di segnali di compromissione: processi PHP che avviano shell o scaricano file, account amministrativi nuovi, file modificati di recente nelle directory pubbliche. Una patch chiude la porta, ma non dice se qualcuno è già entrato.
Perché il vero problema sono i siti fermi a PHP 8.1?
Nei siti che ci capita di analizzare il caso più frequente non è il gestore che ignora l’allerta, ma l’applicazione che non regge l’aggiornamento: un gestionale scritto anni fa, un e-commerce con estensioni non più mantenute, un CMS personalizzato che si rompe con le nuove versioni del linguaggio. Per questi sistemi il progetto PHP ha pubblicato solo backport minimi in codice sorgente per 7.4, 8.0 e 8.1, da compilare e pacchettizzare in proprio. È una soluzione tampone che richiede competenze, non un aggiornamento.
La lezione vale oltre questa emergenza. Un runtime fuori supporto trasforma ogni falla critica in un progetto di migrazione da fare sotto pressione. Inventario delle versioni, test automatici e un processo di rilascio che permetta di cambiare l’immagine del server in poche ore sono ciò che separa una patch notturna da settimane di esposizione. Chi vuole sapere dove si trova oggi può partire da una verifica di sicurezza mirata sui servizi esposti.
Domande frequenti
Che cosa ha comunicato l’ACN su PHP2Shell?
Il 25 ottobre 2026 il CSIRT Italia dell’Agenzia per la cybersicurezza nazionale ha pubblicato un’allerta: su 741.523 servizi PHP rilevati in Italia, 285.149 usano versioni potenzialmente vulnerabili, pari all’81,9% dei servizi di cui è stato possibile leggere la versione.
Quali versioni di PHP correggono PHP2Shell?
Le release correttive sono PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35, pubblicate il 21 ottobre 2026. PHP 8.1 e le versioni precedenti sono fuori supporto e non ricevono release ufficiali.
Esiste una falla senza patch?
Sì. L’ACN segnala una terza vulnerabilità, CVE-2026-115560, per la quale la correzione non è ancora disponibile. Come misura temporanea raccomanda di disattivare il parametro session.upload_progress.enabled e di attivare regole WAF in modalità di blocco.
Il mio sito è nella lista dei 285mila?
Il dato è un conteggio aggregato basato sulla versione dichiarata dai server. L’ACN sta inviando notifiche ai gestori di circa 60mila domini, ma il modo più rapido per saperlo è verificare la versione PHP in produzione e confrontarla con le release corrette.
Fonti
ACN / CSIRT Italia — PHP2Shell: aggiornare immediatamente i sistemi vulnerabili (AL01/261025/CSIRT-ITA), 25 ottobre 2026
Il Sole 24 Ore — In Italia 285mila siti web a rischio: chiunque può prenderne il controllo, 26 ottobre 2026
Adnkronos — Cybersicurezza: Acn, per falle php oltre 285mila siti a rischio in Italia, 25 ottobre 2026