Tutti i negozi Magento che ospitiamo e gestiamo sono stati aggiornati contro PHP2Shell, le due vulnerabilità critiche di PHP (CVE-2026-109618 e CVE-2026-109619) rese pubbliche il 21 ottobre 2026. Se il vostro negozio è sui nostri server, non dovete fare nulla.
Che cos’è PHP2Shell
PHP2Shell è una coppia di falle in PHP stesso, non in Magento né in un’estensione. Riguardano ogni server con PHP 5.4 o successivo, sia con Apache sia con PHP-FPM, e permettono a un attaccante di eseguire codice sul server senza effettuare l’accesso. I ricercatori hanno dimostrato un attacco funzionante contro un’installazione pulita di Magento 2.4.9, e i primi tentativi di attacco sono stati osservati ancora prima del rilascio della correzione.
Poiché PHP legge ogni richiesta prima che venga eseguito il codice del negozio, né la modalità di manutenzione di Magento né le estensioni di sicurezza o i filtri a livello di negozio possono fermarlo. La vera soluzione è aggiornare PHP sul server.
Cosa abbiamo fatto
Appena sono uscite le versioni corrette di PHP, abbiamo aggiornato PHP su tutti i server che gestiamo: ogni negozio con una versione di PHP supportata è ora completamente protetto.
Negozi con versioni di PHP datate
PHP rilascia correzioni di sicurezza solo per la versione 8.2 e successive. I negozi che usano ancora versioni precedenti, come PHP 7.2, non ricevono una correzione ufficiale. Su questi negozi abbiamo applicato una protezione temporanea che blocca le vie di attacco note, ma si tratta di una misura provvisoria, non di una soluzione definitiva.
L’unica soluzione duratura è portare il negozio a una versione di PHP supportata, il che sui negozi più vecchi di solito significa aggiornare anche Magento. Se il vostro negozio rientra in questo gruppo, parlateci per pianificare l’aggiornamento.
Non siete ospitati da noi?
- Aggiornate PHP su ogni server adesso, oppure chiedete al vostro hosting di farlo oggi stesso. Non è possibile risolvere il problema dall’interno di Magento.
- Con PHP 8.1 o precedente non esiste una correzione ufficiale. Chiedete al vostro hosting una correzione retroportata o il passaggio a una versione supportata.
- Prima verificate che nessuno sia già entrato. Il nostro WhizzyScan gratuito controlla file e database alla ricerca di webshell e backdoor:
curl https://shopwhizzy.com/gowiz/external/agent | sh
Tutti i dettagli tecnici sono nell’avviso di Sansec su PHP2Shell.