Appena finito di patchare le due falle del php che una nuova vulnerabilità di sicurezza interessa PHP, uno dei linguaggi di programmazione più utilizzati al mondo per lo sviluppo di siti web e applicazioni online. Identificata come CVE-2026-115560, la falla potrebbe consentire l’esecuzione di codice da remoto in presenza di particolari configurazioni del server. Al 26 ottobre 2026 non è ancora disponibile una patch definitiva, ma il PHP Security Team ha già indicato una misura di protezione temporanea.
La segnalazione arriva pochi giorni dopo la scoperta di altre due vulnerabilità critiche, CVE-2026-109618 e CVE-2026-109619, associate al nome PHP2Shell, che hanno richiesto aggiornamenti di sicurezza urgenti su scala internazionale.
La situazione ha richiamato l’attenzione delle principali organizzazioni di cybersecurity, tra cui il CSIRT Italia dell’Agenzia per la Cybersicurezza Nazionale (ACN), che il 25 ottobre 2026 ha pubblicato un nuovo avviso invitando amministratori di sistema, hosting provider e responsabili IT a verificare tempestivamente la sicurezza delle proprie infrastrutture.
Indice dei contenuti
Che cos’è la vulnerabilità CVE-2026-115560?
La CVE-2026-115560 è una vulnerabilità individuata nel sistema di gestione delle sessioni di PHP.
PHP è utilizzato da milioni di siti web e costituisce una componente fondamentale di numerose piattaforme, tra cui WordPress, Drupal, Joomla e diversi sistemi di e-commerce.
La nuova falla interessa una funzionalità denominata session upload progress, utilizzata per monitorare l’avanzamento del caricamento dei file attraverso le sessioni PHP.
Secondo il PHP Security Team, una particolare combinazione di configurazioni e operazioni eseguite dall’applicazione potrebbe creare le condizioni per una vulnerabilità di tipo Remote Code Execution (RCE).
Una vulnerabilità RCE può permettere a un attaccante di eseguire istruzioni sul server remoto, con conseguenze potenzialmente gravi per la sicurezza dei sistemi.
Tra i possibili impatti rientrano:
- Accesso non autorizzato a dati e file presenti sul server.
- Modifica o compromissione dei contenuti dei siti web.
- Installazione di codice malevolo.
- Interruzione dei servizi.
- Possibile compromissione di altre risorse accessibili dal processo PHP.
È importante precisare che questi rappresentano potenziali effetti di un’eventuale compromissione e non conseguenze automaticamente associate alla presenza della vulnerabilità.
Come funziona la nuova falla di PHP?
A differenza delle prime due vulnerabilità PHP2Shell, la CVE-2026-115560 richiede una combinazione relativamente rara di condizioni applicative.
Secondo l’avviso ufficiale del PHP Security Team, devono verificarsi contemporaneamente quattro condizioni.
1. Configurazione iniziale del gestore delle sessioni
Il parametro PHP session.serialize_handler deve essere inizialmente configurato con uno dei seguenti valori:
php_binary
oppure
php_serialize
2. Modifica dinamica della configurazione
L’applicazione deve successivamente modificare il parametro, impostandolo su php mediante la funzione ini_set().
3. Modifica prima dell’avvio della sessione
Il cambiamento deve verificarsi prima dell’esecuzione della funzione session_start().
4. Monitoraggio degli upload abilitato
La funzionalità session.upload_progress.enabled deve risultare attiva.
Soltanto quando queste condizioni si verificano contemporaneamente può manifestarsi il percorso di vulnerabilità descritto dal produttore.
Questo aspetto è fondamentale: non tutte le installazioni PHP sono automaticamente vulnerabili alla CVE-2026-115560.
Il PHP Security Team considera questa combinazione poco comune e ha pertanto previsto la correzione nell’ambito del normale ciclo di aggiornamento, anziché attraverso un ulteriore rilascio straordinario.
CVE-2026-115560: perché non esiste ancora una patch?
Il 23 ottobre 2026 il PHP Security Team ha pubblicato un avviso informativo relativo alla nuova vulnerabilità.
A differenza delle precedenti falle, per le quali erano stati distribuiti aggiornamenti urgenti il 21 ottobre, la nuova problematica è stata giudicata meno facilmente sfruttabile nelle configurazioni applicative comunemente utilizzate.
Per questo motivo, gli sviluppatori PHP hanno deciso di includere la correzione nel successivo aggiornamento ordinario.
Al 26 ottobre 2026, il record pubblico della CVE risulta ancora nello stato RESERVED.
Questo significa che l’identificativo è stato assegnato, ma il relativo record non contiene ancora tutti i dettagli tecnici definitivi.
Lo stato RESERVED non implica che la vulnerabilità sia inesistente: la problematica è stata già riconosciuta dal PHP Security Team attraverso un proprio avviso ufficiale.
In attesa dell’aggiornamento, è comunque disponibile una misura di mitigazione specifica.
Come proteggersi dalla CVE-2026-115560: la soluzione temporanea
La principale misura di protezione raccomandata dagli sviluppatori PHP consiste nella disabilitazione della funzionalità di monitoraggio dell’avanzamento degli upload.
La configurazione da applicare è:
session.upload_progress.enabled = 0Questa direttiva deve essere impostata nella configurazione PHP effettivamente utilizzata dal server web.
L’intervento disabilita la funzionalità nativa che permette alle applicazioni di ottenere informazioni sull’avanzamento degli upload attraverso le sessioni PHP.
Non disabilita il caricamento dei file sul server, ma potrebbe influire su applicazioni che utilizzano specificamente questa funzione per mostrare l’avanzamento dei trasferimenti.
Prima di applicare la modifica in ambienti di produzione, è quindi opportuno verificare eventuali dipendenze applicative.
Dove modificare la configurazione PHP?
La modalità di intervento dipende dall’infrastruttura utilizzata.
Su un server dedicato o VPS, un amministratore può generalmente intervenire sulla configurazione PHP e sui parametri del servizio PHP-FPM o del web server.
In ambienti di hosting condiviso, invece, alcune impostazioni potrebbero essere gestite centralmente dal provider.
È importante sottolineare che la modifica deve essere applicata prima dell’elaborazione delle richieste interessate.
Secondo le indicazioni tecniche di Red Hat, una modifica effettuata tramite ini_set() oppure attraverso un file .user.ini non rappresenta necessariamente una mitigazione adeguata per questo scenario, perché potrebbe intervenire troppo tardi nel ciclo di elaborazione della richiesta.
Negli ambienti PHP-FPM gestiti direttamente, può essere opportuno utilizzare configurazioni amministrative che impediscano alle applicazioni di riabilitare il parametro.
Dopo l’intervento è necessario verificare che tutti i processi PHP interessati utilizzino effettivamente la nuova configurazione.
Il semplice inserimento della direttiva in un file non garantisce, da solo, che la protezione sia attiva.
Come verificare se il server è protetto?
Per controllare la configurazione PHP è possibile utilizzare strumenti diagnostici messi a disposizione dal provider oppure effettuare una verifica tramite l’ambiente PHP utilizzato dal sito.
Una delle informazioni da controllare è il valore effettivo di:
session.upload_progress.enabled
Il parametro dovrebbe risultare disabilitato, con valore 0 oppure Off.
La verifica deve riguardare l’ambiente web e non soltanto PHP eseguito da terminale, poiché le configurazioni possono essere differenti.
Su server gestiti direttamente è inoltre opportuno controllare che non esistano configurazioni applicative o di directory capaci di riabilitare la funzionalità.
Per ragioni di sicurezza, eventuali pagine diagnostiche temporanee contenenti informazioni sulla configurazione PHP devono essere rimosse immediatamente dopo il controllo.
PHP2Shell: quali sono le altre due vulnerabilità?
La CVE-2026-115560 si aggiunge a due vulnerabilità critiche rese pubbliche il 21 ottobre 2026:
CVE-2026-109618
Una vulnerabilità legata alla gestione della memoria durante l’elaborazione delle richieste PHP, potenzialmente sfruttabile per provocare condizioni di corruzione della memoria e, in determinate circostanze, eseguire codice arbitrario.
CVE-2026-109619
Una seconda vulnerabilità che interessa la gestione dello stato interno e della memoria di PHP, con possibili conseguenze sulla sicurezza dei processi che elaborano richieste web.
Entrambe sono state classificate con un punteggio CVSS v4.0 pari a 9,2, corrispondente a una gravità critica.
Per correggerle, il PHP Security Team ha pubblicato le seguenti versioni:
| Versione PHP | Aggiornamento correttivo |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
Le versioni PHP 8.1 e precedenti non ricevono più il normale supporto di sicurezza dal progetto PHP.
Alcuni provider e manutentori di distribuzioni Linux possono comunque distribuire correzioni specifiche anche per versioni meno recenti.
È importante ricordare che gli aggiornamenti pubblicati il 21 ottobre correggono le prime due vulnerabilità, ma non risolvono la CVE-2026-115560.
Allarme PHP2Shell in Italia: i dati del CSIRT
Il 25 ottobre 2026 il CSIRT Italia ha pubblicato un’allerta dedicata all’esposizione dei servizi PHP presenti sul territorio nazionale.
Secondo i dati riportati dall’Agenzia per la Cybersicurezza Nazionale, su 741.523 servizi PHP rilevati in Italia, 285.149 utilizzano versioni potenzialmente vulnerabili alle criticità PHP2Shell.
Il valore corrisponde all’81,9% dei servizi per i quali è stato possibile identificare la versione PHP installata.
Il dato non deve essere interpretato come una percentuale riferita alla totalità dei servizi rilevati.
Inoltre, alcune installazioni potrebbero aver ricevuto correzioni di sicurezza distribuite dai rispettivi fornitori senza una modifica del numero di versione visibile dall’esterno.
Le informazioni evidenziano comunque la necessità di migliorare la gestione degli aggiornamenti e delle configurazioni di sicurezza.
WordPress e CVE-2026-115560: i siti sono a rischio?
WordPress utilizza PHP come linguaggio di programmazione lato server.
Di conseguenza, la sicurezza dell’ambiente PHP rappresenta un elemento fondamentale per la protezione di un sito WordPress.
Tuttavia, la presenza di WordPress non implica automaticamente che un sito sia vulnerabile alla CVE-2026-115560.
L’effettiva esposizione dipende dalle configurazioni PHP e dal comportamento del codice applicativo, inclusi eventuali plugin o componenti personalizzati.
Un sito WordPress aggiornato potrebbe comunque utilizzare un ambiente PHP configurato in modo non sicuro.
Viceversa, un’installazione WordPress ospitata su un server correttamente configurato potrebbe non presentare le condizioni necessarie allo sfruttamento della nuova falla.
Per questo motivo, la sicurezza deve essere valutata su più livelli: applicazione, plugin, tema, interprete PHP e infrastruttura di hosting.
Ulteriori misure di sicurezza consigliate
Oltre alla disabilitazione di session.upload_progress.enabled, è opportuno adottare una strategia di protezione articolata.
Aggiornare PHP e i componenti applicativi
Le versioni PHP devono essere mantenute aggiornate, verificando anche l’effettiva applicazione delle correzioni distribuite dal provider.
Controllare le configurazioni delle sessioni
Gli sviluppatori dovrebbero verificare se il codice utilizza ini_set() per modificare dinamicamente session.serialize_handler.
Attivare un Web Application Firewall
Un WAF opportunamente configurato può contribuire a bloccare richieste malevole, soprattutto quando sono disponibili regole specifiche per le vulnerabilità individuate.
Il WAF non deve però essere considerato un sostituto delle patch o delle mitigazioni raccomandate dal produttore.
Monitorare i log
È consigliabile analizzare richieste HTTP anomale, errori di memoria, interruzioni inattese dei processi PHP e altre attività potenzialmente sospette.
Verificare l’integrità dei siti web
Nei sistemi CMS è opportuno controllare la presenza di file sconosciuti, modifiche inattese e nuovi account amministrativi non autorizzati.
Mantenere backup aggiornati
I backup devono essere conservati in ambienti protetti e, quando possibile, separati dal server di produzione. È importante verificarne periodicamente la possibilità di ripristino.
Contattare il provider di hosting
Chi utilizza servizi di hosting condiviso dovrebbe richiedere una conferma esplicita dell’applicazione delle mitigazioni relative alla CVE-2026-115560.
Nei casi in cui non sia possibile applicare aggiornamenti o misure di protezione efficaci, il CSIRT Italia raccomanda di valutare la temporanea disattivazione dei servizi vulnerabili.
CVE-2026-115560: cosa succederà nei prossimi giorni?
Il PHP Security Team ha comunicato che la correzione della nuova vulnerabilità sarà inclusa nel prossimo aggiornamento ordinario.
Fino alla pubblicazione della patch, la raccomandazione principale rimane la disabilitazione della funzionalità session.upload_progress.enabled negli ambienti che richiedono questa misura di protezione.
Gli amministratori dovrebbero inoltre seguire gli aggiornamenti pubblicati dal progetto PHP, dai fornitori delle distribuzioni Linux e dalle autorità nazionali di cybersecurity.
La situazione potrebbe evolvere con la pubblicazione di ulteriori dettagli tecnici, nuovi strumenti di rilevamento e aggiornamenti correttivi.
Conclusioni: prevenire oggi per proteggere i sistemi di domani
La scoperta della CVE-2026-115560 conferma quanto sia importante considerare la sicurezza informatica come un processo continuo.
Anche componenti consolidati e ampiamente utilizzati, come l’interprete PHP, possono presentare vulnerabilità che richiedono interventi tempestivi.
Sebbene la nuova falla necessiti di condizioni applicative poco comuni, le potenziali conseguenze di un’esecuzione di codice da remoto rendono opportuna una verifica preventiva.
La priorità è assicurarsi che le prime due vulnerabilità PHP2Shell siano state corrette e che la mitigazione per CVE-2026-115560 sia effettivamente applicata dove necessaria.
In attesa della patch definitiva, aggiornamenti, configurazioni sicure, monitoraggio e collaborazione con il proprio hosting provider rappresentano gli strumenti più importanti per ridurre il rischio di compromissione.
Articolo aggiornato al 26 ottobre 2026. Le informazioni tecniche e le misure di mitigazione potrebbero cambiare con la pubblicazione di nuovi aggiornamenti di sicurezza.
