PHP2Shell, la falla in PHP scoperta con GPT-5.6 Sol: come capire se il tuo sito è a rischio e come sistemarlo

PHP2Shell è una falla critica di PHP, il linguaggio su cui gira circa il 70% dei siti web, e permette a un attaccante di prendere il controllo del server senza password e senza che nessuno clicchi niente. L’unica soluzione vera è aggiornare PHP a una versione corretta: 8.2.35, 8.3.36, 8.4.27 o 8.5.12. Se hai un sito in WordPress o in PHP, i passaggi qui sotto vanno fatti oggi.

La falla è stata trovata anche con GPT-5.6 Sol, il modello di OpenAI. Le correzioni sono uscite il 21 ottobre 2026, ma i dettagli erano già trapelati e Cloudflare ha osservato traffico d’attacco contro i siti dei suoi clienti.

Cosa può fare chi sfrutta PHP2Shell?

Chi sfrutta PHP2Shell prende il pieno controllo del server dove gira il tuo sito. In pratica può:

• leggere tutte le password e le chiavi API dei pagamenti;
• leggere tutti i segreti del sito, cioè le credenziali salvate nella configurazione;
• modificare le pagine del sito;
• nascondere una backdoor, cioè un accesso nascosto che gli permette di rientrare quando vuole.

Per attaccare con PHP2Shell basta una sola richiesta al sito costruita apposta: senza password e senza che qualcuno clicchi su un’email di phishing.

Quali siti sono colpiti da PHP2Shell?

PHP2Shell colpisce PHP stesso, quindi ogni sito che gira su PHP è potenzialmente esposto: WordPress, Joomla, Drupal e la maggior parte dei siti che vedi ogni giorno. Wiz, che ha pubblicato l’analisi tecnica, scrive che ogni versione di PHP uscita nell’ultimo decennio ha almeno una delle due vulnerabilità, fino alla 5.4.

Le vulnerabilità sono due, CVE-2026-109618 e CVE-2026-109619, entrambe con punteggio CVSS 9.2 su 10. Wiz ha dimostrato l’attacco sulle immagini standard di WordPress, Drupal e Joomla. OpenAI l’ha definita una delle vulnerabilità più gravi degli ultimi anni.

Come funziona PHP2Shell, in parole semplici?

Quando PHP finisce la memoria a metà di una richiesta, lascia in giro pezzi di dati sporchi. Un attaccante manda al sito una richiesta con dati costruiti apposta per sfruttare quei resti, e riesce a far eseguire al server i suoi comandi.

Per questo il problema non dipende da quanto è scritto bene il tuo sito. Anche un sito WordPress perfettamente aggiornato è vulnerabile se il PHP sotto è una versione non corretta.

Come si protegge un sito da PHP2Shell?

Prima di tutto, se non sei sicuro che il tuo sito sia protetto, mettilo in manutenzione finché non hai finito questi passaggi. Un sito spento per qualche ora costa meno di un server compromesso.

1. Controlla la versione di PHP.
2. Se sei su PHP 7 o più vecchio, passa almeno alla 8.2.
3. Su hosting condiviso, scrivi oggi all’hosting.
4. Su un server tuo, fai aggiornare PHP a Claude Code.
5. Cerca file sospetti e non fidarti dei plugin miracolosi.

1. Come controllo la versione di PHP del mio sito?

Su WordPress la versione di PHP si trova in Strumenti › Salute del sito › Informazioni › Server.

Se il sito non è in WordPress, OpenAI ha pubblicato su GitHub uno strumento gratuito che controlla la versione di PHP di un sito: github.com/openai/php2shell-checker. Si lancia con Node indicando l’indirizzo del sito, per esempio node phpcheck.js "https://iltuosito.it".

Se php2shell-checker risponde UNKNOWN, il sito non è per forza al sicuro: vuol dire che lo strumento non è riuscito a capire la versione, per esempio perché il server la nasconde. In quel caso chiedi direttamente al tuo hosting provider.

2. Quali versioni di PHP sono sicure?

Le versioni di PHP che correggono PHP2Shell sono:

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

Se sei su PHP 7 o su una versione più vecchia della 8.2, non esiste un rilascio ufficiale corretto: devi aggiornare almeno alla 8.2. Il progetto PHP ha pubblicato solo patch minime da compilare per 7.4, 8.0 e 8.1, pensate per chi compila PHP da sé: per un sito normale la strada è il salto di versione.

3. Il mio sito è su un hosting condiviso: cosa faccio?

Su un hosting condiviso l’aggiornamento di PHP lo fa l’hosting. Scrivigli però oggi stesso e chiedi esplicitamente: "Avete già installato la versione di PHP corretta per PHP2Shell?". Non dare per scontato che l’abbia già fatto.

4. Ho un server mio: come aggiorno PHP?

Se gestisci un server tuo, apri Claude Code sul server e chiedigli: "Aggiorna PHP alla versione corretta per PHP2Shell e riavvia il sito". Il riavvio conta: secondo Wiz va riavviato tutto ciò che esegue PHP, cioè Apache, PHP-FPM e i processi che restano accesi a lungo.

5. Perché controllare i file sospetti e non installare plugin?

Gli attacchi sono partiti prima che tutti potessero aggiornare, quindi un sito aggiornato oggi potrebbe essere già stato compromesso ieri. Fai controllare il sito per file sospetti, per esempio file PHP comparsi nella cartella degli upload.

E non installare plugin che promettono di risolvere PHP2Shell: la falla sta in PHP, sotto WordPress, e un plugin non la può correggere. L’unica soluzione vera è aggiornare PHP, ed è la stessa conclusione di Wiz.

Chi ha scoperto PHP2Shell?

La buona notizia è che l’AI ha trovato PHP2Shell prima che la usassero gli attaccanti. I ricercatori di Calif hanno usato GPT-5.6 Sol per individuarne una prima versione ad agosto, il team di OpenAI ne ha trovata una più estesa a settembre e Wiz le ha trovate entrambe in modo indipendente.

Negli ultimi due mesi OpenAI ha guidato una coalizione con chi mantiene PHP, ricercatori di sicurezza come Wiz e aziende come Cloudflare. Insieme hanno preparato correzioni e protezioni prima che la falla diventasse pubblica, coinvolgendo anche agenzie del governo americano come CISA per avvisare chi gestisce servizi essenziali.

Da sviluppatore con 5 anni nel mondo della cybersecurity, il punto per me è chiaro: i modelli AI trovano falle in software che usiamo da dieci anni, e lo fanno sempre più in fretta. La finestra tra la scoperta e l’attacco si accorcia, e i siti lasciati sulla vecchia versione di PHP sono i primi a pagare.

Se conosci qualcuno che ha un sito in WordPress o in PHP, mandagli questi cinque passaggi: oggi ne ha davvero bisogno.