# PHP security vulnerabilities tool checking online

Verifica gratuita PHP2Shell: inserisci l'URL di qualsiasi sito web e scopri se usa una versione di PHP vulnerabile a CVE-2026-109618 / CVE-2026-109619 — le falle dietro l'allarme di emergenza del Giappone.

# Strumento online per controllare le vulnerabilità di sicurezza di PHP

Il 21 ottobre 2026, due falle critiche in PHP stesso — CVE-2026-109618 e CVE-2026-109619, entrambe CVSS 9.2 — hanno mandato offline siti governativi in tutta Europa e in Giappone. La prima ministra giapponese Sanae Takaichi ha pubblicato un avviso urgente su X: verifica se i tuoi siti usano PHP, applica la patch stasera stessa, oppure metti il sito offline finché non puoi farlo. Questo strumento gratuito legge la versione di PHP esposta dal tuo sito e ti dice a che punto sei.

## Controlla subito il tuo sito

Controlla il mio sito

Controllo in sola lettura: leggiamo gli header di risposta pubblici del tuo sito e cerchiamo un’eventuale pagina phpinfo esposta, poi confrontiamo qualsiasi versione di PHP troviamo con le versioni corrette. Non inviamo mai richieste di exploit e non conserviamo nulla. Controlla solo siti di tua proprietà o che hai il permesso di testare.

Deep Website Check · 4,99 $ · aperto a tutti

## Vuoi il quadro completo, non solo la versione PHP?

Questo controllo gratuito legge solo la versione PHP del tuo sito e le sue impronte pubbliche. Deep Website Check è l’analisi completa: un rapporto esaustivo sul tuo sito web — rapporto online e PDF — che copre la sua impronta PHP e di piattaforma, la sua catena completa di certificati TLS, ciò che un vero browser vede sulla homepage e i suoi header di sicurezza, revisionato da una persona prima della consegna. 4,99 $ per controllo, aperto a tutti (fino a 10 al mese per email).

[Richiedi un Deep Website Check — 4,99 $](https://aiservicesmarket.lol/it/deep-check/)

## Cosa è successo

Il team di sicurezza di PHP ha annunciato due vulnerabilità critiche il 20–21 ottobre 2026, dopo che i dettagli erano trapelati in anticipo rispetto alla divulgazione programmata. Entrambe le falle risiedono nella gestione delle richieste dell’interprete PHP, quindi un attaccante può eseguire codice su un server vulnerabile prima che qualsiasi codice dell’applicazione venga eseguito — senza login, senza password, e funziona anche contro una banale pagina di test. La coppia è stata rapidamente soprannominata PHP2Shell. Le versioni corrette sono state rilasciate il 21 ottobre; Cloudflare ha segnalato i primi tentativi di attacco lo stesso giorno, e i governi olandese e finlandese, i giapponesi Niconico, Pixiv e DMM, e molti altri hanno messo i servizi offline o in manutenzione d’emergenza invece di aspettare. PHP alimenta circa tre quarti dei siti web di cui è possibile identificare il linguaggio lato server — inclusi tutti i siti WordPress, Drupal, Joomla e Magento.

Fonti: [analisi di Datadog Security Labs](https://securitylabs.datadoghq.com/articles/php2shell-critical-vulnerabilities-in-php/), [avviso di Ubuntu su php2shell](https://ubuntu.com/blog/php2shell-vulnerability-fixes-available), [FAQ di Tenable](https://www.tenable.com/blog/php2shell-cve-2026-109618-cve-2026-109619-frequently-asked-questions-about-critical-php-remote) e [Reuters sull’avviso della prima ministra](https://www.reuters.com/jp/economy/5S4LC2ZTKBPSRB6S65XU54IV5Y-2026-10-21/).

## Versioni corrette

Applicare la patch è l’unica vera soluzione — i trucchi di configurazione che circolano online (come disabilitare l’upload progress delle sessioni) non ti proteggono, secondo la riproduzione di Datadog.

Il tuo ramo PHPVersione corretta (21 ott 2026)Stato se sei sotto questa versione
8.5.x8.5.12Vulnerabile
8.4.x8.4.27Vulnerabile
8.3.x8.3.36Vulnerabile
8.2.x8.2.35Vulnerabile
8.1.x e precedenti (incl. 7.x, 5.x)—Vulnerabile e a fine vita: non arriverà nessuna patch ufficiale. Aggiorna a una versione corretta 8.2+ (alcune distribuzioni Linux integrano le correzioni nei propri pacchetti — controlla la versione del tuo pacchetto).

## Cosa fare adesso

- Trova la tua versione di PHP. Usa lo strumento qui sopra, esegui php -v sul server, controlla il pannello del tuo hosting o chiedi al tuo provider.

- Applica la patch oggi stesso se sei sotto la versione corretta. Sull’hosting condiviso può farlo solo il provider — contattalo subito e chiedi a quale versione ti sposterà.

- Non puoi applicare la patch in fretta? Vai temporaneamente offline. È il consiglio esplicito dato il 21 ottobre dalla prima ministra giapponese e da diverse agenzie nazionali di cybersicurezza: una breve interruzione pianificata è meglio di un server esposto.

- Rimuovi qualsiasi pagina phpinfo pubblica (phpinfo.php, info.php). Mostra l’intera configurazione del tuo server a chiunque la chieda.

- Verifica. Dopo l’aggiornamento, conferma con php -v e ripeti questo controllo.

## Cosa questo controllo può — e non può — dirti

Il controllo è un’impronta remota, ed è onesto riguardo ai propri limiti. Se il tuo server annuncia la sua versione di PHP (molti lo fanno, nell’header X-Powered-By) o espone una pagina phpinfo, il verdetto è esatto. Se la versione è nascosta, il controllo lo dice invece di tirare a indovinare — una versione nascosta non è una prova di sicurezza, e l’unico test certo è sul server stesso. Se la tua versione ha un suffisso di pacchetto di una distribuzione Linux, il controllo segnala la questione del backport invece di dichiararti vulnerabile. Anche una CDN davanti al tuo sito può eliminare i segnali; in quel caso, controlla il server di origine.

## Domande, con risposte dirette

### Cos’è PHP2Shell?
PHP2Shell è il soprannome di due vulnerabilità critiche in PHP stesso — CVE-2026-109618 e CVE-2026-109619 — divulgate il 21 ottobre 2026. Entrambe hanno un punteggio CVSS 9.2 e permettono a un attaccante di eseguire codice su un server web senza effettuare l’accesso. Poiché le falle risiedono nell’interprete PHP, ogni sito che usa una versione di PHP interessata è esposto, qualunque cosa lo alimenti — WordPress, Drupal, Joomla, Magento o una pagina di test di una riga. Login e password dell’applicazione non bloccano l’attacco; solo l’aggiornamento di PHP lo risolve.

### Quali versioni di PHP sono vulnerabili e quali sono corrette?
Versioni corrette ufficiali (21 ottobre 2026): PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12. Qualsiasi versione precedente su quei rami è vulnerabile. Anche PHP 8.1 e tutto ciò che è più vecchio (fino al 5.x) è interessato, ma è a fine vita — PHP non correggerà quei rami, quindi la soluzione è passare a una versione supportata e corretta. Alcune distribuzioni Linux integrano la correzione nei propri pacchetti senza cambiare il numero di versione ufficiale; se usi pacchetti PHP della tua distribuzione, confronta la versione completa del pacchetto con l’avviso della distribuzione.

### Il mio sito è WordPress. L’aggiornamento di WordPress risolve il problema?
No. Gli aggiornamenti di WordPress correggono WordPress; questa falla è in PHP, il linguaggio su cui gira WordPress. La tua versione di PHP è impostata dal server o dal piano di hosting, e cambia solo quando l’host aggiorna PHP (o quando cambi tu la versione di PHP dal pannello di hosting, se l’opzione esiste). Chiedi al tuo provider di hosting quale versione di PHP usa il tuo sito e se è pari o superiore alla versione corretta.

### Lo strumento dice che la mia versione di PHP è nascosta. Sono al sicuro?
Non necessariamente. Nascondere la versione è una buona pratica, ma significa solo che un controllo remoto non può vederla — dall’esterno, server sicuri e vulnerabili sembrano identici. In quel caso il verdetto onesto è ‘impossibile confermare da remoto’. Controlla sul server stesso: esegui php -v, guarda nel pannello di hosting o chiedi al tuo provider, poi confronta con le versioni corrette qui sopra.

### Questo strumento prova a hackerare il mio sito?
No. Invia normali richieste in sola lettura: legge gli header di risposta che il tuo server mostra già a ogni visitatore, e verifica se è raggiungibile una pagina phpinfo — una pagina diagnostica che non dovrebbe mai essere pubblica — perché quella pagina stampa la versione esatta (e molto altro che non vuoi rendere pubblico). Non invia mai la richiesta di exploit, non invia mai payload di attacco e non conserva nulla sul tuo sito.

### Lo strumento dice vulnerabile, ma il mio host dice che abbiamo applicato la patch. Chi ha ragione?
Forse il tuo host. Debian e Ubuntu integrano le correzioni di sicurezza nei loro pacchetti PHP mantenendo il numero di versione ufficiale originale, quindi un server che dichiara ‘PHP 8.3.6’ può già contenere la correzione se la release del pacchetto è abbastanza recente (Ubuntu ha pubblicato i pacchetti corretti il 21 ottobre 2026). Questo strumento segnala esplicitamente quel caso invece di gridare al lupo. Il test decisivo è la versione completa del pacchetto — chiedila al tuo host, o controlla il gestore pacchetti sul server.

### Cosa devo fare in questo momento?
1) Trova la tua versione di PHP (questo strumento, php -v o il tuo host). 2) Se è sotto la versione corretta per il tuo ramo, aggiorna PHP — o fallo fare dal tuo host — oggi stesso. 3) Se non puoi applicare la patch in fretta, segui il consiglio dato il 21 ottobre dalla prima ministra giapponese e da diverse agenzie nazionali di cybersicurezza: metti temporaneamente il sito offline, o limitane l’accesso, finché non è corretto. 4) Rimuovi qualsiasi pagina phpinfo pubblica. 5) Dopo la patch, conferma con php -v e ripeti questo controllo.

## Vuoi che il tuo assistente AI faccia tutto il lavoro?

La skill PHP2Shell Vulnerability Check esegue questo stesso controllo tramite il tuo assistente AI, affronta con te i casi di versione nascosta e di backport della distribuzione, scrive il report di una pagina per il proprietario, e poi ti guida nella patch e nella nuova verifica finché il tuo sito non è confermato come corretto.

[Ottieni la skill — $4.99](https://aiservicesmarket.lol/it/skills/php2shell-vulnerability-check/)