PHP2Shell: come verificare se cPanel, Plesk o CloudLinux hanno già la patch

Due vulnerabilità critiche in PHP, identificate come CVE-2026-109618 e CVE-2026-109619 e note come PHP2Shell, sono sotto sfruttamento attivo. Chi gestisce hosting cPanel o Plesk, o VPS con PHP installato manualmente, deve verificare subito se il pacchetto in uso ha già ricevuto la patch: il numero di versione mostrato dal sito, in molti casi, non cambia.

Cosa sono le due falle

Le vulnerabilità sono classificate con punteggio CVSS v4.0 9.2. PHP disclosed two critical vulnerabilities, CVE-2026-109618 and CVE-2026-109619, each with a CVSS v4.0 score of 9.2, and application-level authentication can't block an attack: PHP processes the malicious request before any application code viene eseguito. In pratica il problema sta nel motore PHP, non nel CMS installato sopra: CVE-2026-109618 nasce dal fatto che, dopo un fallimento nell'allocazione di memoria, PHP lascia dati non validi per la routine di pulizia, mentre CVE-2026-109619 permette a un worker PHP di riutilizzare uno stato residuo da una richiesta precedente.

Il rischio non è teorico: watchTowr ha osservato lo sfruttamento in the wild di PHP2Shell, e invita ad aggiornare subito a PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35.

Le versioni corrette

Ramo PHP	Versione corretta
PHP 8.2	8.2.35
PHP 8.3	8.3.36
PHP 8.4	8.4.27
PHP 8.5	8.5.12
PHP 7.4 – 8.1	nessuna release ufficiale, solo backport dai fornitori di pacchetti
PHP 5.4 – 7.3	fine supporto, nessuna patch dal progetto PHP

Chi gestisce server cPanel con CloudLinux ha una via d'uscita anche sulle versioni fuori supporto: CloudLinux ha pubblicato backport per i pacchetti ea-php e alt-php che coprono anche PHP precedente alla 7.4, senza modificare il numero di versione visualizzato dal sito. La verifica va quindi fatta sul pacchetto RPM installato, non sul numero di versione PHP mostrato da phpinfo().

Su sistemi gestiti direttamente, il controllo si fa leggendo il changelog del pacchetto, ad esempio con apt changelog php8.3-cli cercando i riferimenti ai due CVE, oppure l'equivalente comando rpm -q --changelog su RHEL, Rocky Linux e AlmaLinux.

Cosa fare comunque

Aggiornare PHP non basta se il CMS resta vulnerabile e viceversa: vanno aggiornati insieme PHP, WordPress, PrestaShop, Joomla o altra applicazione, inclusi temi e plugin. Chi usa ancora una versione PHP fuori supporto ufficiale (7.4 e precedenti) dovrebbe pianificare la migrazione a 8.4 o 8.5, perché i backport di emergenza non sostituiscono gli aggiornamenti di sicurezza ordinari che quelle versioni non ricevono più.