---
title: "PHP2Shell: perché oggi internet è in fiamme, e perché PixelUnion non è coinvolto"
description: "Due falle critiche di PHP sono trapelate prima che ci fosse una patch, e buona parte del web corre ai ripari. Ecco cos'è PHP2Shell, perché è così grave e perché le tue foto su PixelUnion non sono a rischio."
url: "https://pixelunion.eu/it/blog/php2shell/"
date: "2026-10-21"
author: "Marc"
categories: ["Privacy"]
tags: ["Security","PHP","PHP2Shell","Vulnerability","Open source"]
---


Se lavori vicino a un server web, oggi non è un mercoledì tranquillo. Due vulnerabilità critiche di PHP, soprannominate PHP2Shell, sono trapelate online prima che il team di PHP potesse rilasciare una correzione. Gli amministratori di tutto il mondo aspettano ora una patch prevista per le 14:00 UTC di oggi, e gli attaccanti aspettano insieme a loro.

Versione breve per gli utenti di PixelUnion: le tue foto non sono a rischio. La versione lunga è qui sotto.

## Cos'è PHP2Shell

PHP2Shell è il nome di due falle, CVE-2026-109618 e CVE-2026-109619. Entrambe hanno un punteggio di 9,2 su 10 nella scala CVSS v4.0. Quel punteggio significa che un attaccante può eseguire il proprio codice su un server vulnerabile senza effettuare l'accesso. In pratica: invii la richiesta giusta a un sito web e ottieni una shell sulla macchina che c'è dietro. Da qui il nome.

La causa esatta non è stata pubblicata. I ricercatori sospettano un bug di memoria (un use-after-free) nella parte di PHP che gestisce il caricamento dei file, ma non è ancora confermato, e almeno un audit lo contesta. Ciò che è confermato: la società di sicurezza watchTowr dice di aver riprodotto uno dei due bug e afferma che "queste vulnerabilità sono reali". Non è ancora chiaro nemmeno quali versioni di PHP siano coinvolte. Le prime segnalazioni parlano di tutto fino a PHP 5.4, e PHP non ha pubblicato un intervallo ufficiale.

## Perché oggi internet è in fiamme

Tre fattori rendono questo caso peggiore di un bollettino di sicurezza medio.

Primo, la diffusione. PHP gestisce circa tre quarti di tutti i siti web di cui si conosce il linguaggio lato server. WordPress, la maggior parte dei negozi online, innumerevoli pannelli di hosting e forum poggiano su di esso. Una falla di esecuzione di codice remota in PHP stesso, e non in un singolo plugin o in una singola app, tocca in una volta sola una parte enorme del web.

Secondo, la fuga di notizie. Di norma esce prima la correzione e i dettagli arrivano dopo, il che dà un vantaggio ai difensori. Questa volta i dettagli sono usciti prima della patch. La soluzione temporanea che ha circolato per prima, disattivare la funzione di avanzamento del caricamento di PHP, si è rivelata incompleta. Per un po' tutti sapevano che la porta era aperta e nessuno aveva una serratura.

Terzo, la patch stessa diventa una mappa. Quando le versioni corrette saranno pubbliche, gli attaccanti potranno confrontare il codice vecchio e quello nuovo e vedere esattamente cosa è cambiato. La società di sicurezza Sansec si aspetta uno sfruttamento di massa entro circa 15 minuti dal rilascio. Inoltre, le scansioni mostrano che circa 884.000 server esposti a internet dichiarano ancora PHP 8.1 o precedente. Quei rami sono a fine vita e con ogni probabilità non riceveranno mai una correzione.

Così oggi molte persone guardano una pagina di rilascio, pronte ad aggiornare appena esce. Alcune non faranno in tempo.

## Perché PixelUnion non è coinvolto

PixelUnion gira su Immich, e Immich non è scritto in PHP. Il server è in TypeScript su Node.js, con un servizio di machine learning separato in Python. Non c'è nessun interprete PHP nel percorso tra il tuo telefono e le tue foto. Un bug nella gestione dei caricamenti di PHP non può essere attivato su un server che non esegue PHP.

Per completezza: avevamo un piccolo servizio periferico in PHP. Stava fuori dalla piattaforma foto, su un'infrastruttura separata, e non aveva accesso alla tua libreria. Non volevamo scommettere sull'arrivo in tempo di una patch sconosciuta, quindi l'abbiamo spento prima della finestra di rilascio. Resta spento finché non avremo verificato una versione corretta.

Nulla di tutto questo significa che ci riteniamo immuni ai problemi di sicurezza. Ogni stack ha i suoi bug, il nostro compreso. Ciò che conta è sapere esattamente cosa gira dove, tenere piccola la superficie di attacco e agire in fretta quando arriva qualcosa del genere. Questo è il lavoro, e continuiamo a farlo.

Se gestisci siti PHP tuoi, controlla gli [avvisi di sicurezza di PHP](https://www.php.net/) e applica la patch appena esce la versione. Se cerchi un posto per le tue foto costruito con questa cura, saremo felici di averti con noi.

[Inizia gratis con PixelUnion →](https://pixelunion.eu)

*Foto di copertina di [Ricardo Gomez Angel](https://unsplash.com/@rgaleriacom) su [Unsplash](https://unsplash.com/photos/bonfire--98jVaVuGv0).*