Il 21 ottobre 2026 il progetto PHP ha rilasciato correzioni per due vulnerabilità critiche in PHP stesso. Entrambe hanno una valutazione CVSS 9.2 e i ricercatori che le hanno individuate le chiamano php2shell. Il problema non riguarda PrestaShop o alcun modulo, ma poiché ogni negozio PrestaShop gira su PHP, interessa praticamente qualsiasi e-commerce. Di seguito: cosa sta succedendo, quali versioni PHP sono state corrette e cosa dovete fare oggi.
Qual è il problema?
Le due vulnerabilità si trovano nel runtime di PHP, il livello che viene eseguito prima del codice proprietario di PrestaShop. Secondo l'annuncio, un attaccante può sfruttarle per bloccare i processi PHP, leggere dati sensibili o, nel peggiore dei casi, eseguire codice sul vostro server senza effettuare il login.
- CVE-2026-109618: quando PHP esaurisce la memoria, i dati della richiesta possono rimanere parzialmente inizializzati e la pulizia successiva tratta quei dati incompleti come validi.
- CVE-2026-109619: lo stato interno di una richiesta può persistere dopo che la sua memoria è stata liberata, cosicché una richiesta successiva sullo stesso worker PHP può utilizzare quello stato obsoleto.
Ogni installazione PHP che gestisce richieste web è a rischio: PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed. Il rischio è massimo con mod_php.
Perché un aggiornamento di PrestaShop non risolve il problema
Aggiornare PrestaShop o i vostri moduli non risolve la situazione. La protezione all'interno dell'applicazione non può bloccare un attacco che avviene prima che il codice dell'applicazione venga eseguito. L'unica vera soluzione è una versione PHP aggiornata sul vostro server.
Quali versioni PHP sono corrette?
| Branch PHP | Versione corretta |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
Per PHP 7.4, 8.0 e 8.1 il progetto PHP ha pubblicato backport minimi. Si noti che le distribuzioni Linux talvolta applicano la correzione senza modificare il numero di versione, quindi una versione che sembra più vecchia potrebbe comunque essere patchata. Per questo motivo dovreste chiedere conferma al vostro host anziché affidarvi unicamente al numero.
Cosa dovreste fare adesso
1. Verificate la vostra versione di PHP
Nel pannello di controllo di PrestaShop, andate su Parametri Avanzati > Informazioni. Lì vedrete su quale versione PHP gira il vostro negozio.
2. Chiedete al vostro host una conferma scritta
Contattate il vostro provider di hosting e chiedete se la patch per CVE-2026-109618 e CVE-2026-109619 è stata applicata al vostro server. Richiedete una risposta scritta.
3. Gestite autonomamente il vostro server?
- Installate i pacchetti PHP aggiornati della vostra distribuzione o le release ufficiali di PHP.
- Riavviate ogni processo PHP: pool PHP-FPM, Apache, LiteSpeed e worker FrankenPHP. Un aggiornamento installato ma non caricato non vi protegge.
- Nel giorno del rilascio, il progetto PHP ha sconsigliato di attendere il repository gestito da volontari
rpms.remirepo.nete ha raccomandato i pacchetti della distribuzione o la compilazione da sorgente. - Usate Docker? Ricostruite le vostre immagini sull'immagine di base aggiornata e ridistribuite.
4. Siete ancora su PHP 8.1 o precedente?
Chiedete al vostro host se la vostra versione di PHP è stata patchata. Aggiornare PrestaShop a una versione che supporta PHP più recenti è un'attività separata e a lungo termine, non un intervento d'emergenza. Per la pianificazione: PrestaShop 9 supporta PHP da 8.1 a 8.5 e PHP 8.2 raggiunge la fine del ciclo di vita il 31 dicembre 2026. I negozi PrestaShop 1.7 e 8.x solitamente girano ancora su PHP 7.x o 8.1.
Misure temporanee se non potete ancora aggiornare
Queste misure sono pensate per i team tecnici. Testatele prima su una copia di staging; riducono il rischio ma non sostituiscono l'aggiornamento di PHP.
Per CVE-2026-109618:
- Riducete
post_max_size: l'avviso suggerisce8Mse il vostro negozio non accetta upload e32Mse li accetta. Manteneteupload_max_filesizeal di sotto di tale valore. - Applicate inoltre limiti alle dimensioni delle richieste nel vostro web server o reverse proxy.
For CVE-2026-109619:
- Impostate
session.upload_progress.enabled=0inphp.ini, nel pool PHP-FPM o nella configurazione del server, e riavviate tutti i worker.ini_set()o.user.ininon sono sufficienti. - Su PHP 8.5, impostate anche
fatal_error_backtraces=0e riavviate i worker.
Nascondere gli errori con error_reporting, display_errors o @ non aiuta. L'elenco completo delle misure si trova nell'avviso di sicurezza ufficiale di PHP.
Un web application firewall è utile?
Cloudflare ha rilasciato regole WAF dedicate per php2shell, attive per impostazione predefinita dal 21 ottobre. Su un piano a pagamento, verificate che il set di regole gestito sia impostato su block. Tenete presente che un WAF protegge solo il traffico che lo attraversa: assicuratevi che il vostro server accetti traffico web esclusivamente dal vostro provider WAF. Un WAF è un livello extra, non un sostituto dell'aggiornamento PHP.
Vi serve aiuto?
Non siete sicuri che il vostro server sia stato patchato o utilizzate ancora una vecchia versione di PHP? Verifichiamo la vostra versione PHP e la configurazione, poniamo le domande giuste al vostro host e vi aiutiamo a pianificare il passaggio a una versione PHP e PrestaShop supportata. Scopri di più sul nostro servizio di sicurezza, pianifica un aggiornamento o fai una domanda.
Fonte: "Critical PHP security updates: what PrestaShop users need to know" su build.prestashop-project.org (21 ottobre 2026) e gli avvisi di sicurezza PHP per CVE-2026-109618 e CVE-2026-109619.
