Cos'è il codice PHP, a cosa serve e perché è importante per i siti web

Hai già sentito parlare del codice PHP? Ecco di che cosa si tratta, come funziona, perché gli hacker lo hanno nel mirino e cosa fare per proteggersi.

Segui Money.it su Google Aggiungici alle fonti preferite per vedere più spesso le nostre notizie nei risultati di ricerca.

Da mercoledì 21 ottobre, tutto il web si è fermato per un attimo. Enti pubblici, mass media, esperti di tecnologia e università hanno messo offline i propri siti in via precauzionale. Il motivo? Due vulnerabilità critiche individuate in PHP, ossia il linguaggio che fa funzionare buona parte dei siti internet.

A distanza di pochi giorni, precisamente lo stesso 21 ottobre, sono state installate le dovute correzioni, ma molti server hanno tardato ad aggiornarsi. Il 25 ottobre, il CSIRT Italia ha segnalato che l’81,9% dei servizi PHP risulta vulnerabile. Si tratta di un dato altamente preoccupante e che potrebbe mettere a rischio le informazioni personali di milioni di utenti, comprese le tue.

Se vuoi saperne di più, in questa guida ti spieghiamo per prima cosa cos’è il codice PHP e come funziona, poi entriamo nel dettaglio della falla vedendo chi è davvero a rischio e quali sono le possibili conseguenze, con consigli utili su come proteggersi.

Cos’è il codice PHP e come funziona

Il codice PHP, che sta per Hypertext Preprocessor, è un linguaggio di programmazione utile per i server. Ogni volta che apri una pagina da un qualsiasi browser, il server esegue gli script PHP. Questo vuol dire che magari interroga un database e restituisce un risultato pronto, di solito in HTML.

È proprio grazie a questo lungaggio che, solitamente, quando visiti un sito non devi installare nulla. La gestione delle pagine riguarda chi gestisce i server, non l’utente finale che ci vuole navigare.

A cosa serve e dove viene usato

Il codice PHP ha il compito principale di rendere i siti web dinamici. Sezioni come quelle dedicate al login, ai carrelli per l’e-commerce, alle aree riservate, ai moduli e alla gestione dei contenuti sono in mano al server.

Secondo una stima di Wiz Research, ad oggi viene utilizzato da circa il 70% dei siti web, per host come WordPress, WooCommerce, Drupal, Adobe Commerce, Wikipedia e framework come Lavarel.

Lo si può trovare anche in pannelli di amministrazione, in applicazioni aziendali interne, nelle piattaforme di hosting e nei container, molto spesso senza che nemmeno l’organizzazione ne sia al corrente.

Perché è così importante

Ma perché il codice PHP è così importante su internet? È una domanda che in pochi si fanno, nonostante venga utilizzato ogni giorno per aprire pagine e siti online. PHP può essere considerato il motore dell’intera macchina web. Ed è per questo che bisogna stare attenti a bug e vulnerabilità.

Un problema in un plugin può colpire chi lo usa, mentre uno nel linguaggio va a inficiare l’esperienza di tutto ciò che ci gira sopra. È per questo che aggiornare semplicemente WordPress o i suoi plugin spesso non basta. Il runtime PHP si aggiorna infatti a livello di server, pacchetto del sistema operativo, hosting o immagine container.

Cos’è il PHP2Shell

Ma passiamo al tema centrale: cos’è il PHP2Shell? Il 21 ottobre, alle ore 16:00 italiane, il progetto PHP ha rilasciato aggiornamenti d’emergenza riguardanti due vulnerabilità: la CVE-2026-109618 e la CVE-2026-109619, ribattezzate appunto PHP2Shell.

Di cosa si tratta? Entrambe hanno un punteggio CVSS v4.0 di 9.2 su 10, cioè un livello critico. Di fatto, permettono a un qualsiasi hacker, anche senza credenziali, di eseguire codice sul server potenzialmente nocivo per le informazioni contenute all’interno dei siti web.

A scoprirle sono state Wiz Research, Calif e il team Codex Security di OpenAI. Il lancio era inizialmente previsto per il 22 ottobre ma, a causa di una fuga di notizie del 20 ottobre, il progetto PHP si è visto costretto ad anticipare la notizia che ha fermato il web.

Dove si trova la falla

La falla a cui si riferisce PHP2Shell si trova all’interno del motore con errori di gestione nella memoria. Secondo quanto riferisce Datadog Security Labs, la prima delle due vulnerabilità lascia dati non validi dopo un’allocazione fallita, mentre la seconda dà modo a un qualsiasi processo di riutilizzare lo stato di una richiesta precedente.

Nei giorni successivi sono state eseguite altre analisi, secondo cui le falle sarebbero catalogabili come use-after-free, ossia errori che danno modo di usare un’area di memoria già liberata. Considerando che la richiesta da parte degli hacker viene elaborata prima del codice applicativo, il login per accedere ai profili personali non si ferma.

Per i più esperti, il progetto cita alcuni esposti come PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed, indicando mod_php come il caso più grave di tutti. Si è parlato della possibilità di disattivare session.upload_progress, una possibile soluzione che però riduce solo una parte dell’attacco. Il rimedio più efficace prevede l’aggiornamento completo.

Chi è a rischio

Ma chi rischia davvero con questa falla? La questione riguarda in particolare chi gestisce un sito o un server. Se sei un semplice utente che naviga, non devi installare né aggiornare nulla sul tuo dispositivo.

Stando a quanto emerso, sarebbero vulnerabili tutte le versioni precedenti alle 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Per la PHP 8.1 e versioni precedenti, non c’è alcuna correzione ufficiale. Il progetto ha infatti pubblicato solo backport sorgente per 7.4, 8.0 e 8.1, oltre ad alcune distribuzioni parallele come Ubuntu 22.04.

Entrando più nel pratico, al momento ad essere esposti sono gli hosting condivisi e i container con immagini datate, oltre ai server dimenticati e ai gestionali interni. Palo Alto Networks ha individuato oltre 22,6 milioni di istanze potenzialmente vulnerabili connesse a internet.

In Italia? Il CSIRT Italia parla di 741.523 servizi PHP, di cui 285.149 vulnerabili e 62.981 aggiornati nel momento in cui stiamo scrivendo questa guida. E per chi se lo stesse chiedendo, il cloud non basta per mettersi al riparo. Google Cloud ha per esempio specificato che il servizio in sé non è vulnerabile, ma lo possono essere le applicazioni PHP che vi girano all’interno. I firewall come quello di Cloudflare riducono il rischio, ma non sostituiscono le patch correttive.

Quali sono le possibili ripercussioni

Cosa si rischia nel pratico con l’esecuzione di codice da parte di un hacker? A causa del PHP2Shell, un malintenzionato potrebbe potenzialmente rubare credenziali e chiavi API, accedere ai database, modificare o cancellare dati, installare backdoor e muoversi verso le reti internet.

Sono vulnerabili anche i lavoratori, come spiegato dall’analista William Nonnis. A sua detta, il 70-80% dei software europei che gestiscono buste paghe e IBAN sono basati su PHP.

Dal punto di vista degli attacchi veri e propri, Amazon ha rilevato un primo tentativo il 17 ottobre, ben 4 giorni prima delle patch ufficiali. Per alcuni giorni, l’attività eseguita è stata soprattutto di scansione, con exploit non funzionanti.

Il 24 ottobre, un honeypot è stato in grado di registrare un’esecuzione di codice riuscita su Apache mod_php con PHP 8.4.26. C’è anche un terzo bug, oltre ai due sopracitati, denominato CVE-2026-115560 che ancora non ha una patch correttiva e può venire sfruttato con una combinazione di configurazione e codice.

Le interruzioni dei siti web avvenute poche ore dopo il comunicato riguardante le falle sono state tuttavia precauzionali. Basti citare gli oltre 30 servizi governativi britannici rimasti offline, i siti delle prefetture francesi irraggiungibili o le pagine pubbliche sospese in Finlandia, Paesi Bassi e Belgio. Nessun rischio confermato o attacchi andati a buon fine, si è trattata di una mossa per evitare potenziali tentativi nelle ore successive.

Cosa fare per difendersi

Come detto, questa falla al codice PHP riguarda i server. Se visiti un sito colpito non viene infettato il tuo smartphone o il tuo PC. E come detto, un sito offline in questi giorni non vuol dire che è stato colpito (e che i tuoi dati sono a rischio), dunque non c’è molto da temere. Puoi comunque ridurre i rischi, con alcuni consigli utili.

Per prima cosa, controlla le comunicazioni dei server che usi. Se per esempio una banca, un datore di lavoro, un blog o un negozio di e-commerce ti avvisa di un incidente, leggi il messaggio ma non accedere mai da link ricevuti per email o SMS, poiché potrebbe trattarsi di attacchi phising per sfruttare il periodo di allarme.

Puoi pensare di cambiare password, ma solo se serve davvero. Quindi per esempio se un servizio ti ha segnalato un problema o, in linea generale, se hai impostato una stessa password per più siti. Altre protezioni utili sono la verifica in due passaggi e le passkey.