Aggiungi come fonte preferita su Google
Il 21 ottobre 2026 sono state rese pubbliche due vulnerabilità critiche di PHP, note collettivamente come PHP2Shell. Queste vulnerabilità potrebbero consentire agli hacker di eseguire codice dannoso sui server interessati senza bisogno di autenticazione. Il team di sviluppo di PHP ha rilasciato aggiornamenti di sicurezza d’emergenza lo stesso giorno per risolvere il problema.
Se il tuo sito WordPress è ospitato su Kinsta, è protetto da PHP2Shell. I nostri team di ingegneri e della sicurezza hanno applicato gli aggiornamenti di sicurezza PHP necessari su tutta la nostra piattaforma di hosting, inclusi gli ambienti live e di staging. Non abbiamo riscontrato alcuna traccia di violazioni legate a queste vulnerabilità.
Ecco cosa devi sapere su PHP2Shell, come abbiamo gestito le vulnerabilità e come controllare le impostazioni PHP del tuo sito.
Cos’è PHP2Shell?
PHP2Shell si riferisce a due vulnerabilità di PHP, identificate come CVE-2026-109618 e CVE-2026-109619. Entrambe hanno ricevuto un punteggio di gravità critico pari a 9,2 secondo CVSS 4.0.
Le vulnerabilità riguardano il modo in cui PHP gestisce la memoria durante l’elaborazione delle richieste. Se sfruttate, un malintenzionato potrebbe eseguire codice dannoso su un server, compromettendo potenzialmente i siti web e i dati ospitati su di esso.
Dato che WordPress funziona con PHP, queste vulnerabilità rappresentavano un rischio anche per i siti WordPress che utilizzavano le versioni di PHP interessate.
A differenza delle vulnerabilità riscontrate in un plugin, in un tema o nel core di WordPress, PHP2Shell riguarda il runtime di PHP stesso. Questo significa che aggiornare WordPress o i suoi plugin non avrebbe risolto il problema. Era necessario applicare una patch al software PHP del server.
Il team di PHP ha rilasciato le correzioni per PHP 8.2, 8.3, 8.4 e 8.5 il 21 ottobre. Le versioni precedenti di PHP hanno ricevuto correzioni di sicurezza da parte di manutentori di terze parti.
Per i clienti Kinsta, abbiamo gestito questi aggiornamenti a livello di hosting, senza richiedere modifiche alle singole installazioni di WordPress.
Come Kinsta ha reagito a PHP2Shell
I nostri team di ingegneri e della sicurezza hanno iniziato a prepararsi per PHP2Shell prima ancora che le patch di sicurezza ufficiali fossero disponibili. La risposta ha comportato l’aggiunta di protezioni per ridurre il rischio di sfruttamento, per poi distribuire le versioni di PHP aggiornate man mano che venivano rilasciate.
Bloccare i tentativi di exploit con Cloudflare
Una delle nostre prime priorità era proteggere i siti web mentre preparavamo le correzioni per PHP. Kinsta utilizza il Web Application Firewall (WAF) di Cloudflare per identificare e bloccare le richieste dannose prima che raggiungano i siti web ospitati sulla nostra piattaforma.
Prima della divulgazione di PHP2Shell, Cloudflare aveva implementato nuove protezioni firewall progettate per rilevare i tentativi di sfruttare queste vulnerabilità. Il nostro team ha attivato le protezioni pertinenti su tutta la nostra infrastruttura di hosting.
Di conseguenza, i nostri firewall a livello di edge stavano già bloccando i tentativi di sfruttamento di PHP2Shell mentre aspettavamo le patch PHP e durante la loro implementazione.
Abbiamo inoltre applicato ulteriori modifiche alla configurazione di PHP in tutti i nostri ambienti di hosting per ridurre la potenziale esposizione. Durante l’intero incidente, siamo rimasti in stretto contatto con il nostro partner per la protezione dalle vulnerabilità, Patchstack, condividendo informazioni sulle minacce e sui modelli di attacco che abbiamo osservato.
Queste misure hanno aiutato a proteggere i siti web mentre preparavamo gli aggiornamenti, ma non potevano sostituire l’applicazione delle patch a PHP stesso.
Applicazione degli aggiornamenti di sicurezza di PHP
Non appena il team PHP ha rilasciato le correzioni, il nostro team di ingegneri ha iniziato a verificare e distribuire i pacchetti PHP aggiornati su tutta la piattaforma.
Abbiamo distribuito gli aggiornamenti di sicurezza da PHP 7.4 a PHP 8.5, incluse le patch per le versioni precedenti fornite da Freexian, il nostro fornitore di pacchetti PHP.
Dato che gestiamo PHP a livello di piattaforma, i clienti non hanno dovuto installare le correzioni né cambiare manualmente le loro versioni di PHP. Il nostro team ha gestito gli aggiornamenti su tutta l’infrastruttura di hosting, mantenendo attive le protezioni aggiuntive di Cloudflare.
Il 22 ottobre 2026, alle 08:26 UTC, abbiamo contrassegnato l’incidente come risolto sulla nostra pagina di stato pubblica, confermando che tutti i siti erano protetti e che gli aggiornamenti di sicurezza erano stati distribuiti su tutta la piattaforma.
Durante l’intero incidente, il nostro team ha monitorato le attività sospette, controllato manualmente i siti che sembravano essere stati presi di mira e continuato a effettuare controlli a campione sugli ambienti di hosting alla ricerca di segni di compromissione. Non abbiamo trovato alcuna prova di violazioni riuscite legate a PHP2Shell.
Puoi leggere gli aggiornamenti pubblicati durante tutta la risposta sulla nostra pagina di stato dedicata all’incidente di sicurezza PHP.
I clienti Kinsta devono fare qualcosa?
No. Se il tuo sito WordPress è ospitato su Kinsta, abbiamo già applicato gli aggiornamenti di sicurezza necessari.
Non devi cambiare la versione di PHP, installare una patch separata o mettere offline il tuo sito a causa di PHP2Shell. Le protezioni coprono anche i tuoi ambienti di staging.
Se hai sospeso qualche ambiente per precauzione mentre risolvavamo le vulnerabilità, ora puoi riattivarlo. Il nostro team ha eseguito gli aggiornamenti di sicurezza necessari anche sugli ambienti sospesi.
Dovresti comunque mantenere aggiornate l’installazione di WordPress, i plugin e i temi come parte della normale manutenzione del sito. Tuttavia, questi aggiornamenti sono distinti dalle correzioni relative a PHP2Shell, che abbiamo già applicato a livello di hosting.
Dove trovare gli aggiornamenti e ricevere assistenza
Se gestisci siti WordPress per i tuoi clienti, puoi condividere con loro il nostro rapporto ufficiale sugli incidenti di sicurezza PHP. Il documento illustra gli aggiornamenti che abbiamo effettuato man mano che le versioni corrette di PHP sono diventate disponibili e conferma la risoluzione dell’incidente.
Se hai domande su un sito web specifico o vuoi verificare il suo stato di sicurezza, puoi contattare direttamente il nostro team di supporto tramite MyKinsta, disponibile 24 ore su 24, 7 giorni su 7 per aiutarti.
Per ulteriori informazioni, consulta la nostra guida su come contattare il supporto di Kinsta.
