PHP2Shell: due vulnerabilità critiche in PHP. Come proteggere i server Linux

Il 21 ottobre 2026 sono state divulgate due vulnerabilità critiche in PHP, conosciute come PHP2Shell: CVE-2026-109618 e CVE-2026-109619. Entrambe hanno un punteggio CVSS di 9.2 e possono consentire l’esecuzione di codice da remoto (RCE) senza autenticazione.

Se gestisci siti WordPress, applicazioni PHP, server Apache, Nginx o PHP-FPM, è importante capire quali sistemi possono essere vulnerabili e come proteggerli.

In questo video di ScrivoCodice analizziamo cosa è successo, come funzionano tecnicamente le due vulnerabilità e perché il problema riguarda il motore PHP, non necessariamente il codice delle applicazioni.

Vedremo anche come verificare le versioni installate sui server Linux, identificare i pacchetti vulnerabili e applicare gli aggiornamenti di sicurezza su Debian e Ubuntu.

Cosa vedremo nel video:

• Cosa è successo il 21 ottobre 2026
• Cosa significa Remote Code Execution (RCE)
• CVE-2026-109618: corruzione della memoria e Out Of Memory
• CVE-2026-109619: Use After Free
• Differenze tra Apache mod_php e PHP-FPM
• Come verificare la versione PHP installata
• Come aggiornare PHP su Debian e Ubuntu
• Mitigazioni temporanee e loro limiti
• Come verificare che la remediation sia stata applicata correttamente

Versioni PHP corrette:

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

Attenzione: le distribuzioni Linux possono distribuire le patch anche tramite backport. Una versione apparentemente precedente non è necessariamente vulnerabile: verifica sempre gli advisory ufficiali del fornitore.

FONTI UFFICIALI

PHP Security Team: https://www.php.net/

PHP2Shell — NCSC Netherlands: https://github.com/NCSC-NL/php2shell

Ubuntu Security: https://ubuntu.com/blog/php2shell-vulnerability-fixes-available

Debian Security Tracker: https://security-tracker.debian.org/tracker/CVE-2026-109618 https://security-tracker.debian.org/tracker/CVE-2026-109619

Le mitigazioni temporanee non sostituiscono l’installazione delle patch di sicurezza.

SCRIVOCODICE

Sul canale ScrivoCodice parliamo di Linux, programmazione, Python, cybersecurity e software open source, con spiegazioni tecniche accessibili ed esempi pratici.

Iscriviti al canale per non perdere i prossimi approfondimenti.

https://www.youtube.com/@scrivocodice?sub_confirmation=1

Hai server PHP in produzione? Hai già verificato se sono aggiornati? Raccontamelo nei commenti.

📌 Capitoli

• 00:00 Introduzione
• 01:41 Cosa è successo il 21 ottobre
• 03:10 Non è solo un bug dell’applicazione
• 04:43 CVE-2026-109618
• 06:31 CVE-2026-109619
• 08:04 Quali server controllare?
• 09:51 Identifica la versione in uso
• 11:37 Aggiorna PHP e riavvia i servizi
• 13:15 Se non puoi aggiornare subito
• 14:46 Aggiornare è sufficiente?
• 15:48 Cosa ricordare

🔗 Video e link utili

• Udemy: https://www.udemy.com/user/scrivocodice/
• Facebook: https://www.facebook.com/people/Scrivocodiceit/61559544457789/
• TikTok: https://www.tiktok.com/@scrivocodice
• LinkedIn: https://www.linkedin.com/in/scrivo-codice-640796220

Al prossimo video!