Il 21 ottobre 2026 il progetto PHP ha annunciato due vulnerabilità critiche e ha rilasciato le versioni corrette. Una sola richiesta costruita ad arte da un attaccante non autenticato può bastare per eseguire codice sul server. La stampa ha iniziato a chiamare le due falle «PHP2Shell».

PHP è alla base di WordPress e di gran parte dei siti delle piccole imprese, oltre che di molti strumenti per newsletter installati su server propri. Ecco cosa significa se invia una newsletter e cosa conviene controllare oggi stesso.

Che cos’è PHP2Shell (CVE-2026-109618 e CVE-2026-109619)?

Secondo il bollettino di sicurezza ufficiale di PHP:
Vulnerabilità CVE-2026-109618 (corruzione della memoria nella gestione dell’esaurimento di memoria) e CVE-2026-109619 (stato interno che sopravvive dopo che la sua memoria è stata liberata)
Gravità Entrambe con punteggio 9,2 (critico) secondo CVSS v4.0
Impatto Esecuzione di codice da remoto senza autenticazione, con i privilegi dell’utente del server web
Chi è coinvolto Qualsiasi installazione PHP che gestisce richieste web. Apache con mod_php è indicato come il caso più a rischio
Versioni corrette PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35 (rilasciate il 21 ottobre)
Versioni precedenti PHP 8.1 e precedenti non hanno più supporto ufficiale; per 7.4, 8.0 e 8.1 sono state pubblicate correzioni minime

PHP sottolinea che l’aggiornamento è l’unica soluzione completa. Le modifiche alla configurazione riducono soltanto il rischio.

Secondo ricercatori di sicurezza e notizie di stampa, ci sono stati tentativi di sfruttamento già prima dell’annuncio pubblico e circola codice di exploit.

In Italia, lo CSIRT Italia dell’Agenzia per la cybersicurezza nazionale (ACN) ha pubblicato un alert su queste vulnerabilità (AL07/261021/CSIRT-ITA). Raccomanda di aggiornare alle versioni corrette, di analizzare i log alla ricerca di segnali di compromissione e, se l’aggiornamento non è possibile in tempi brevi, di valutare di mettere offline i siti e i servizi con versioni vulnerabili.

Come PHP2Shell riguarda la Sua newsletter

Per chi invia una newsletter ci sono due rischi distinti.

1. Il Suo sito viene compromesso

Se gli attaccanti prendono il controllo del Suo sito WordPress o di un altro sito in PHP, possono inserire falsi annunci o link a siti malevoli nelle Sue notizie e negli articoli del blog.

Se poi prepara la newsletter partendo da quegli articoli, è la Sua stessa newsletter a portare i lettori su un sito pericoloso. Perde la fiducia dei lettori, e le segnalazioni di spam renderanno più difficile il recapito delle email successive.

2. Il Suo sistema di invio viene compromesso

Se usa uno strumento per newsletter in PHP o un plugin per newsletter di WordPress sul Suo server, gli attaccanti potrebbero:

  • Rubare l’elenco degli iscritti (indirizzi email e nomi)
  • Usare il Suo server per inviare spam o phishing in massa
  • Rovinare la reputazione del Suo dominio, così che nemmeno le email legittime arrivino più in posta in arrivo

Se usa WordPress o un plugin per newsletter

WordPress e i suoi plugin per newsletter funzionano su PHP. Aggiornare WordPress e i plugin non corregge questa vulnerabilità se PHP stesso non è aggiornato. Controlli la versione di PHP nel pannello di controllo del Suo provider di hosting o nei suoi avvisi.

Checklist per oggi

Cosa fare Come controllare
Controllare la versione di PHP Nel pannello di controllo o negli avvisi del provider di hosting. Se non è una delle versioni corrette indicate sopra, chieda l’aggiornamento al provider o all’amministratore
Se non può aggiornare subito Valuti con l’amministratore le impostazioni provvisorie indicate da PHP (riducono il rischio, ma non lo eliminano). Lo CSIRT Italia suggerisce di valutare di mettere offline i servizi vulnerabili
Aggiornare WordPress e i plugin Non risolve questa falla, ma chiude altre vie d’accesso
Rivedere i contenuti recenti del sito Cerchi articoli o link che non riconosce
Tenere d’occhio i volumi di invio Cerchi invii che non ha programmato o picchi improvvisi
Tenere d’occhio segnalazioni di spam e rimbalzi Un aumento improvviso può indicare una compromissione
Leggere i report DMARC Verifichi se server sconosciuti inviano email a nome del Suo dominio

Se l’elenco degli iscritti potrebbe essere stato sottratto

Gli indirizzi email e i nomi degli iscritti sono dati personali ai sensi del GDPR. In caso di violazione di questi dati (data breach):

  • Notifica al Garante (articolo 33 del GDPR): senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, a meno che sia improbabile che la violazione presenti un rischio per le persone. Se la notifica arriva più tardi, va motivato il ritardo. Dal 1° luglio 2021 la notifica al Garante per la protezione dei dati personali si effettua con una procedura telematica sul portale dei servizi online del Garante.
  • Comunicazione agli interessati (articolo 34 del GDPR): quando la violazione è suscettibile di presentare un rischio elevato per i loro diritti e le loro libertà.

Tutte le violazioni vanno comunque documentate, anche quelle non notificate. Se pensa che i dati degli iscritti siano stati esposti, si faccia assistere, per esempio dal Suo responsabile della protezione dei dati.

Non gestire in proprio il sistema di invio

Quando il sistema di newsletter gira su un server proprio, applicare le patch per falle come questa è compito Suo. Con un servizio di newsletter in hosting, mantenere aggiornata l’infrastruttura di invio è responsabilità del fornitore.

Newsletter Ready non usa PHP, quindi non è interessato da questa vulnerabilità. La sicurezza del sito da cui la Sua newsletter prende i contenuti resta però una Sua responsabilità: controlli anche lì la versione di PHP.

Fonti

Questo articolo fornisce informazioni generali e non costituisce consulenza legale.