Il 21 ottobre 2026 il mondo del web ha vissuto una delle giornate più tese degli ultimi anni. Sono state rese pubbliche due vulnerabilità critiche nel linguaggio PHP, identificate come CVE-2026-109618 e CVE-2026-109619 e ribattezzate PHP2Shell. Entrambe hanno ricevuto un punteggio di gravità di 9,2 su 10.

Per capire la portata del problema basta un dato: PHP è il motore di circa il 70% dei siti web nel mondo, da WordPress ai gestionali, dagli e-commerce ai portali istituzionali.

Cosa sono le falle PHP2Shell

Le due vulnerabilità derivano da errori nella gestione della memoria all’interno di PHP. Prese singolarmente sono già serie; combinate tra loro permettono a un attaccante di eseguire codice da remoto sul server, ottenendo di fatto il controllo della macchina e l’accesso illimitato a dati e file.

In termini concreti significa poter rubare database, dati personali dei clienti, credenziali, oppure installare malware e mettere offline un servizio. Il dettaglio più inquietante è che questi difetti erano presenti nel codice di PHP da oltre dieci anni e sono stati trasformati in un attacco funzionante grazie a modelli di intelligenza artificiale avanzati.

Una corsa contro il tempo

Appena le correzioni sono diventate pubbliche è iniziata quella che gli esperti hanno definito una vera e propria “corsa allo sfruttamento”: la pubblicazione di una patch, infatti, aiuta anche i criminali a capire dove colpire e a cercare in rete i server non ancora aggiornati. Si parla di milioni di tentativi di attacco registrati in poche ore.

Amazon ha rilevato sui propri sistemi-esca (honeypot) diversi exploit già nel giorno del rilascio delle correzioni, con i primi tentativi intorno alle 2 di notte UTC del 21 ottobre. Ancora più preoccupante: il team di sicurezza di Amazon ha individuato un primo tentativo di sfruttamento già il 17 ottobre, quattro giorni prima della divulgazione ufficiale.

Governi e grandi organizzazioni costretti a spegnere tutto

La reazione di molte istituzioni è stata drastica. I Paesi Bassi hanno messo offline il sistema di identità digitale DigiD, il portale governativo Overheid.nl e il sito della Camera dei rappresentanti; perfino l’agenzia olandese per la cybersicurezza ha spento il proprio sito. Hanno seguito la stessa strada diversi siti del governo della Finlandia, mentre sono finiti offline anche servizi come il sito della BBC, il Porto di Rotterdam e alcuni ospedali.

In Germania l’ufficio federale per la sicurezza informatica (BSI) ha giudicato il rischio estremamente elevato e alcuni ospedali hanno sospeso per qualche ora i servizi online. In Francia i siti delle prefetture sono rimasti irraggiungibili per “manutenzione preventiva”. Le autorità di sicurezza di Regno Unito, Australia e Giappone, insieme al CERT-EU delle istituzioni europee, hanno consigliato di isolare o spegnere i servizi non aggiornabili subito.

Anche l’Italia ha spento i suoi siti

Il nostro Paese non è rimasto fuori dall’emergenza. Il Ministero dell’Interno ha oscurato i siti delle prefetture italiane in attesa di applicare le correzioni. Anche GARR, la rete che collega università ed enti di ricerca italiani, ha isolato alcune delle proprie piattaforme per aggiornarle.

Il 21 ottobre l’Agenzia per la Cybersicurezza Nazionale (ACN) ha diramato l’allerta AL07/261021: gravità critica e impatto sistemico alto. L’indicazione rivolta a tutti era chiara: se non si può aggiornare subito, valutare di mettere offline siti e servizi fino all’applicazione della patch. L’ACN ha chiesto inoltre di controllare i log a ritroso, per scoprire eventuali attacchi già avvenuti.

Quando realtà di queste dimensioni scelgono di spegnere i server piuttosto che rischiare, è chiaro che non si tratta di un problema da sottovalutare.

Lightage: tutti i server messi in sicurezza entro 30 minuti

Il 21 ottobre PHP ha pubblicato le versioni correttive 8.5.12, 8.4.27, 8.3.36 e 8.2.35, insieme a backport per le versioni più datate.

Entro mezz’ora dal rilascio delle patch, Lightage aveva aggiornato e messo in sicurezza tutti i propri server. Nessun sito dei nostri clienti è stato spento, nessun servizio è stato interrotto, nessun dato è stato esposto.

Non è stata fortuna. È il risultato di un metodo che applichiamo ogni giorno dal 1998:

• Monitoraggio costante dei bollettini di sicurezza e delle comunicazioni ufficiali dei progetti open source che utilizziamo.
• Procedure di aggiornamento già pronte, testate e rapide da eseguire su tutta l’infrastruttura.
• Un team che interviene subito, senza attendere che sia il cliente ad accorgersi di un problema.
• Backup regolari e piani di ripristino, perché la sicurezza si costruisce su più livelli.

Cosa significa per i nostri clienti

Chi ospita il proprio sito, il proprio e-commerce o il proprio gestionale sui piani di hosting Lightage non ha dovuto fare nulla: nessun aggiornamento manuale, nessuna corsa contro il tempo, nessuna notte insonne. Ce ne siamo occupati noi, come facciamo sempre.

Episodi come PHP2Shell dimostrano che scegliere un hosting non significa solo comprare spazio su un server: significa affidare a qualcuno la sicurezza della propria attività. E la differenza tra un fornitore e un partner si vede proprio nei momenti critici.

Il tuo sito è al sicuro?

Se il tuo sito non è ospitato da noi e non sei certo che il tuo fornitore abbia già applicato le correzioni, verifica subito la versione di PHP in uso. Se vuoi un controllo o stai valutando un hosting gestito con un’attenzione reale alla sicurezza, contattaci: il nostro team è a disposizione.