Cos’è la falla PHP2Shell e perché tanti siti sono stati oscurati

Se il 21 ottobre scorso avete provato ad accedere al sito di una prefettura italiana, di un ospedale europeo o di un ente pubblico tedesco e potreste aver trovato una pagina bianca o un messaggio di errore, non era un problema della vostra connessione. Quei siti erano stati oscurati di proposito, per precauzione, a causa di una vulnerabilità scoperta nel cuore di buona parte del web. Si chiama PHP2Shell, e capire perché fa così paura richiede prima di capire cos’è PHP.

PHP è un linguaggio di programmazione che gira sui server, cioè sui computer che ospitano i siti web. Mentre voi navigate, il vostro browser riceve pagine già pronte: è PHP che le assembla al volo, pescando dati da un database, verificando se siete loggati, mostrando i prodotti giusti nel vostro carrello. Senza PHP, buona parte del web dinamico che conosciamo semplicemente non esisterebbe.

Per capire la portata del problema, secondo W3Techs, PHP gira sul 69,3% dei siti di cui è noto il linguaggio server-side, lasciando molto indietro JavaScript (8,1%), Ruby (7,1%) e Java (5,4%).

WordPress, Drupal e Joomla, che insieme alimentano una fetta enorme del web, girano tutti su PHP. Capito ora perché la situazione sia tanto grave?

Preferisci ascoltare il riassunto audio? Abbiamo scelto una voce realizzata con strumenti avanzati IA per rendere i nostri testi subito accessibili a tutti

Il 20 ottobre il team di sicurezza di PHP ha annunciato che il giorno dopo avrebbe rilasciato una patch urgente. Il 21 ottobre, alle 16:00 ora italiana, sono arrivati gli aggiornamenti. Le falle sono due, battezzate collettivamente PHP2Shell, e l’Agenzia per la Cybersicurezza Nazionale le ha classificate entrambe come critiche, con un punteggio di gravità di 9,2 su 10.

In parole semplici: entrambe le falle riguardano il modo in cui PHP gestisce la memoria del server in situazioni di stress, come quando arrivano troppe richieste contemporaneamente. In certi casi, PHP libera un pezzo di memoria ma continua a usarlo, con risultati imprevedibili. Un attaccante che sa come sfruttare questa situazione può inviare una richiesta appositamente costruita al server e, senza nemmeno avere un account o una password, prendere il controllo del processo PHP in esecuzione.

Il risultato pratico, dimostrato dai ricercatori di Wiz Research, è che un malintenzionato può eseguire qualsiasi comando sul server di un sito WordPress, Drupal o Joomla vulnerabile. Non solo: può anche leggere dalla memoria del server dati sensibili come password, token di accesso e chiavi API, un po’ come succedeva con la famosa falla Heartbleed di OpenSSL di qualche anno fa.

Ma la cosa che rende tutto ancor più complicato è un’altra: le falle in questione non colpiscono solo le versioni recenti di PHP. Sempre secondo Wiz, ogni versione rilasciata nell’ultimo decennio, fino alla 5.4, è toccata da almeno una delle due vulnerabilità. Per risolverle tutte si tratterebbe quindi di aggiornare sistemi che non vengono toccati da anni, magari per ragioni precise che impediscono un aggiornamento a versioni più recenti.

La risposta è stata immediata e, per certi versi, spettacolare. Aggiornare PHP non è semplice come premere un tasto: richiede interventi tecnici sui server, test di compatibilità, e in molti casi del tempo che semplicemente non c’era.

La soluzione più rapida, consigliata da agenzie di sicurezza di mezza Europa, è stata quindi spegnere i siti più sensibili in attesa di poterli correggere.

Il 21 ottobre sono così finiti offline siti di enti pubblici, scuole e ospedali in tutta Europa. Tra i casi più visibili:

• In Germania, il fornitore federale ITZBund ha oscurato diversi siti in via puramente precauzionale, senza incidenti di sicurezza registrati
• Il ministero dell’Interno italiano ha oscurato i siti delle prefetture in attesa di applicare le patch al framework
• Il ministero degli Esteri belga ha sospeso i propri siti
• In Canton Ticino, l’amministrazione ha disattivato servizi online

La NSA americana ha chiesto di applicare subito la patch o di scollegare i sistemi vulnerabili, un appello ripreso da autorità dal Giappone all’Unione Europea. Palo Alto Networks stima in 22 milioni le piattaforme esposte a livello globale. Cloudflare ha distribuito regole di protezione gratuite per i propri clienti come misura tampone.

Una nota importante: non ogni sito che usa WordPress è automaticamente a rischio. Il pericolo riguarda i siti che eseguono PHP direttamente sui propri server, con una versione non aggiornata. Chi usa hosting gestiti o piattaforme cloud che hanno già applicato la patch è al sicuro.

C’è un dettaglio nella storia di PHP2Shell che merita attenzione: le falle sono state scoperte da ricercatori di Wiz e da Calif.io usando strumenti di intelligenza artificiale, tra cui modelli di OpenAI, nell’ambito di un programma chiamato Patch the Planet. Il codice vulnerabile sarebbe rimasto inosservato per anni.

È l’ennesimo segnale che l’IA può trovare difetti che gli occhi umani si perdono, il che è una buona notizia, ma anche un promemoria che il software su cui si regge il web porta con sé decenni di codice mai davvero controllato a fondo. E non solo lui!

Il problema più spinoso, però, è quello delle versioni obsolete.

Secondo W3Techs, circa un sito PHP su tre gira ancora su versioni 7 o 5, rami che PHP non supporta più ufficialmente. Per questi siti non esiste una patch ufficiale: chi gestisce quei server dovrà arrangiarsi con soluzioni parziali o, peggio, restare esposto. Le grandi istituzioni, probabilmente, si aggiorneranno in fretta, ma molti siti più piccoli non sapranno nemmeno di essere vulnerabili per chissà quanto, e forse non si aggiorneranno mai.

PHP2Shell non è la prima vulnerabilità critica di PHP nel 2026, e quasi certamente non sarà l’ultima: il fatto che un linguaggio così diffuso porti con sé codice vecchio e poco esaminato è un problema strutturale che una singola patch non risolve. Il paradosso è che, se da una parte l’IA ci aiuta a scovare problemi come questo, il problema è proprio che l’IA scova problemi come questo.