Il 21 ottobre 2026, la Commissione Europea (DG CNECT), insieme all'ENISA (Agenzia dell'Unione Europea per la Cybersecurity), al CERT-EU, a Europol EC3 e alla rete dei CSIRT nazionali, ha rilasciato una dichiarazione congiunta per avvisare le organizzazioni, le imprese e le pubbliche amministrazioni della necessità di intervenire d'urgenza a causa di due gravissime falle di sicurezza nel linguaggio di programmazione PHP, uno dei pilastri fondamentali del web mondiale, che alimenta circa il 70% dei siti web a livello globale, compresi portali istituzionali, piattaforme di e-commerce, sistemi di gestione dei contenuti (CMS) e applicazioni aziendali.
Le vulnerabilità, catalogate ufficialmente come CVE-2026-109618 e CVE-2026-109619 (e ribattezzate collettivamente come PHP2Shell), hanno ottenuto il punteggio di gravità massima di 9.2 su 10 secondo la scala CVSS v4.0 e risiedono nell'interprete di memoria di PHP consentendo il cosiddetto Remote Code Execution (RCE) non autenticato. In sintesi, gli hacker possono eseguire codice malevolo da remoto e assumere il controllo totale dei server senza bisogno di credenziali o login, minacciando potenzialmente milioni di siti web.
La scoperta tecnica della falla è avvenuta grazie all'utilizzo di strumenti basati sull'Intelligenza Artificiale, ma la velocità e la trasparenza della risposta globale sono state fortemente accelerate dalla pressione del Cyber Resilience Act (Regolamento UE 2024/2847), che inoltre - a partire dall'11 dicembre 2027 - imporrà ai produttori di hardware e software di implementare la sicurezza fin dalla progettazione (security by design) e di garantire il supporto per l'intero ciclo di vita del prodotto.
Il team di sicurezza globale di PHP ha rilasciato i pacchetti di aggiornamento di emergenza il 21 ottobre. Non esistendo altre contromisure o soluzioni temporanee efficaci, le istituzioni europee raccomandano caldamente a tutti gli amministratori di sistema, alle aziende e ai gestori di siti web di:
- Mappare i sistemi che utilizzano il linguaggio PHP.
- Aggiornare all'ultima versione, nello specifico: PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35.
- Isolare i sistemi a rischio al fine di salvaguardare i database e i dati sensibili degli utenti.
Per i dettagli completi e il testo integrale della dichiarazione congiunta, si rimanda ai documenti ufficiali della Commissione Europea e alle risorse della Digital Skills & Jobs Platform.