PHP2Shell: dopo una settimana, Wordfence non conferma ancora violazioni WordPress

Wordfence ha pubblicato il 28 ottobre 2026 un aggiornamento di status su PHP2Shell, la coppia di vulnerabilità critiche in PHP (CVE-2026-109618 e CVE-2026-109619) corretta una settimana prima. Il punto per chi gestisce hosting WordPress è semplice: la falla resta critica, ma nessuno l'ha ancora sfruttata con successo su un sito WordPress, almeno per quanto risulta all'azienda.

Cosa dice Wordfence

Al 28 ottobre 2026, Wordfence non è a conoscenza di alcun sito WordPress compromesso tramite PHP2Shell (CVE-2026-109618 e CVE-2026-109619). L'azienda continua a vedere richieste legate a PHP2Shell sui oltre 5 milioni di siti che protegge, ma quelle richieste mostrano scansioni e tentativi di exploit in corso, non se un tentativo sia andato a segno. I team di pulizia siti e risposta agli incidenti di Wordfence non hanno gestito nessuna compromissione WordPress attribuita a queste vulnerabilità.

Il dato nuovo riguarda il volume degli attacchi: dal 23 al 27 ottobre, una regola di monitoraggio dedicata ha registrato circa 77.600 richieste collegate da più di 2.000 indirizzi IP.

La patch resta l'unica risposta

Nessuna conferma di compromissione non rende sicuro un server non aggiornato: la correzione resta aggiornare PHP sul server a 8.5.12, 8.4.27, 8.3.36 o 8.2.35 (o un pacchetto del vendor confermato contenere entrambe le patch) e riavviare PHP. Aggiornare WordPress non aggiorna PHP.

Branch PHP	Versione corretta
8.5	8.5.12
8.4	8.4.27
8.3	8.3.36
8.2	8.2.35

Per chi usa PHP 8.1 o versioni precedenti non c'è una release ufficiale: va chiesto al proprio pannello di controllo o distribuzione un pacchetto con backport confermato.

Cosa cambia per chi gestisce server

Le due CVE sono state inserite da CISA nel catalogo KEV (Known Exploited Vulnerabilities) il 26 ottobre 2026, con scadenza di rimedio fissata al 29 ottobre per le agenzie federali statunitensi. Per chi gestisce hosting in Italia la scadenza non è vincolante, ma segnala che il livello di attenzione resta alto a una settimana dal rilascio della patch del 21 ottobre.

Chi non ha ancora verificato la versione di PHP in produzione dovrebbe farlo ora: controllare php -v sul server, confrontare con la tabella sopra e, se serve, contattare il proprio provider per il pacchetto corretto prima di riavviare i processi PHP-FPM o mod_php.