PHP2Shell: cosa è successo ai siti WordPress e come mettere al sicuro il tuo e-commerce

Tra il 20 e il 25 ottobre 2026 il web ha vissuto una delle settimane più tese degli ultimi anni. Due falle critiche nel linguaggio PHP, ribattezzate PHP2Shell, hanno spinto governi, ospedali e aziende a mettere offline i propri siti in via precauzionale. PHP è il linguaggio su cui girano WordPress e WooCommerce, quindi la questione riguarda da vicino moltissimi e-commerce italiani.

In questo articolo ti spieghiamo cosa è successo, chi era esposto, cosa fare subito se il tuo sito è su WordPress e quali sono le due strade per non ritrovarti più in questa situazione: passare a una piattaforma gestita come Shopify, oppure restare su WordPress lavorando con regole di sicurezza serie.

Cosa è successo: PHP2Shell in breve

Le vulnerabilità sono due, CVE-2026-109618 e CVE-2026-109619, entrambe con gravità critica (9,2 su 10). Sono state individuate con l'aiuto dell'intelligenza artificiale in un programma di ricerca a cui hanno partecipato le società di sicurezza Calif e Wiz, insieme alla PHP Foundation. Erano nascoste nel codice di PHP da oltre dieci anni.

• Cosa permettono: l'esecuzione di codice da remoto senza bisogno di login. In pratica chi attacca può prendere il controllo del server, installare malware e leggere database, password e chiavi di accesso.
• Chi è esposto: qualsiasi sito che gira su una versione di PHP non aggiornata, indipendentemente da tema e plugin. Anche un sito WordPress perfettamente aggiornato era vulnerabile se il PHP del server non lo era.
• Le date: i dettagli sono trapelati online il 20 ottobre, prima della correzione ufficiale. La patch è arrivata il 21 ottobre con le versioni PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. I primi tentativi di attacco sono stati registrati quella stessa mattina.

Perché ne hanno parlato tutti

Le autorità di molti Paesi hanno diffuso allerte formali, tra cui la NSA statunitense, l'NCSC britannico e le agenzie europee, consigliando di spegnere i sistemi che non si potevano aggiornare subito. In diversi Paesi europei siti istituzionali sono stati messi offline per manutenzione preventiva.

In Italia il CSIRT dell'Agenzia per la Cybersicurezza Nazionale ha diffuso il 25 ottobre l'avviso "Aggiornare immediatamente i sistemi vulnerabili". Secondo i dati dell'Agenzia, su 741.523 servizi PHP rilevati in Italia, 285.149 usavano versioni potenzialmente vulnerabili: l'81,9% di quelli di cui era possibile riconoscere la versione.

Cosa fare subito se il tuo sito è su WordPress

1. Controlla la versione di PHP: in WordPress la trovi in Strumenti, Salute del sito, Info, Server, oppure nel pannello del tuo hosting.
2. Chiedi al tuo hosting se ha applicato la correzione del 21 ottobre. Attenzione: alcuni fornitori applicano la patch senza cambiare il numero di versione, quindi serve una conferma scritta.
3. Se sei su PHP 8.1 o precedente, la versione non riceve più aggiornamenti ufficiali: pianifica il passaggio almeno a PHP 8.2, meglio 8.4 o 8.5, con un test in ambiente di prova e un backup completo prima.
4. Attiva un firewall applicativo (per esempio le regole gestite di Cloudflare) in modalità blocco. Aiuta, ma non sostituisce l'aggiornamento.
5. Controlla i segnali di attacco: errori 500 ripetuti, errori di memoria, riavvii strani del server. Se li vedi, considera il sito compromesso e cambia tutte le password e le chiavi di accesso.

Un dettaglio importante: aggiornare WordPress, il tema o i plugin non basta. Il problema era nel PHP del server, che dipende da chi gestisce l'hosting.

Il vero problema: chi si occupa della sicurezza?

PHP2Shell ha messo in luce una cosa che chi ha un e-commerce su WordPress spesso scopre solo in emergenza: la sicurezza è divisa tra più soggetti. L'hosting gestisce il server e PHP, lo sviluppatore gestisce WordPress, tema e plugin, e il titolare del negozio spesso non sa chi deve fare cosa. Nei giorni dell'allerta molte aziende hanno passato ore al telefono per capire se il proprio sito era protetto.

Per un e-commerce il rischio non è solo tecnico. Un server compromesso può esporre dati di clienti e ordini, con conseguenze anche sul piano del GDPR, e un sito offline durante una campagna significa vendite perse e budget pubblicitario sprecato.

Prima strada: passare a una piattaforma gestita come Shopify

Shopify è una piattaforma in abbonamento: server, aggiornamenti e sicurezza dell'infrastruttura sono gestiti da Shopify, non dal singolo negozio. I negozi Shopify non girano su un PHP da aggiornare a cura del titolare, quindi un'emergenza come PHP2Shell non richiede interventi da parte tua.

• Niente server da aggiornare: niente versioni di PHP, patch o hosting da controllare.
• Checkout e pagamenti gestiti dalla piattaforma, con standard di sicurezza per le carte già inclusi.
• Meno plugin di terze parti: le funzioni principali sono native, le altre arrivano da app verificate.

Nessuna piattaforma elimina ogni rischio: password deboli, accessi condivisi e app installate senza criterio restano punti da curare. Ma la parte più tecnica, quella che durante PHP2Shell ha messo in crisi tanti siti, non è più un tuo problema.

Se stai valutando il passaggio, abbiamo spiegato tutto nella guida tecnica alla migrazione a Shopify e nella guida dedicata a chi parte da WooCommerce: migrare da WooCommerce a Shopify. La migrazione si fa senza perdere prodotti, clienti, ordini e posizionamento su Google.

Seconda strada: restare su WordPress, ma lavorare in sicurezza

Non tutti devono migrare. Un sito vetrina o un blog su WordPress, ben gestito, può restare dov'è. La condizione è avere regole chiare e qualcuno che le applichi:

• Hosting gestito che aggiorna PHP in automatico e lo comunica, invece di un server che nessuno controlla.
• Versioni supportate di PHP e WordPress, con un calendario degli aggiornamenti.
• Pochi plugin e affidabili, aggiornati e rimossi quando non servono più.
• Firewall applicativo e monitoraggio degli errori.
• Backup automatici fuori dal server, provati periodicamente.
• Accessi personali con autenticazione a due fattori, niente password condivise.
• Un referente che, in caso di allerta, sappia in poche ore se il sito è al sicuro.

Quale strada scegliere

Se il tuo sito vende e il negozio è la parte centrale del business, la sicurezza gestita di Shopify toglie un rischio che oggi costa tempo e soldi a ogni allerta. Se il sito è soprattutto informativo, una gestione seria di WordPress può bastare. In entrambi i casi la cosa da evitare è quella che PHP2Shell ha mostrato chiaramente: un sito importante per il business senza nessuno che sappia chi deve aggiornarlo.

Vuoi capire in quale situazione sei? Partiamo da un'analisi del tuo sito: piattaforma, hosting, plugin e rischi. Ti diciamo con franchezza se conviene passare a Shopify o mettere in sicurezza quello che hai. Puoi anche iniziare dal Performance Check gratuito.

Fonti: avviso del CSIRT Italia dell'Agenzia per la Cybersicurezza Nazionale del 25 ottobre 2026; rilascio di sicurezza di php.net del 21 ottobre 2026; analisi di Patchstack e Wiz Research.