← Astra AI

Il tuo sito è esposto a PHP2Shell?
Scoprilo in due minuti.

Il 21 ottobre 2026 PHP ha pubblicato le correzioni per due falle critiche, chiamate PHP2Shell (CVE-2026-109618 e CVE-2026-109619): permettono a chiunque di eseguire codice sul tuo server senza password. Toccano quasi ogni versione di PHP, quindi quasi ogni sito WordPress, WooCommerce, PrestaShop, Laravel.

Il problema non è sapere che esiste la falla. È sapere quale PHP serve davvero le tue pagine: quello che vedi nel pannello o in SSH spesso non è lo stesso. Questo strumento te lo dice dal vivo, e ti dice dove cliccare.

Scarica PHP2Shell Check (zip) Leggi il codice

Un solo file PHP, nessuna dipendenza, licenza MIT. Non manda dati a nessuno: tutto resta sul tuo server. Si cancella da solo dopo 60 minuti.

Come si usa

  1. Scarica lo zip e aprilo: dentro c'è php2shell-check.php.
  2. Caricalo nella cartella principale del sito (quella con index.php o wp-config.php), dal File Manager dell'hosting o via FTP.
  3. Apri https://tuosito.it/php2shell-check.php nel browser e leggi il verdetto.
  4. Aggiorna PHP dal pannello, seguendo le istruzioni che la pagina ti mostra per il tuo hosting.
  5. Ricarica la pagina: se dice «AL SICURO», premi «Elimina questo file».

Cosa vedi

AL SICURO
VULNERABILE, MITIGATO IN PARTE
VULNERABILE
NESSUNA CORREZIONE UFFICIALE
Ramo PHPPrima versione corretta
8.58.5.12
8.48.4.27
8.38.3.36
8.28.2.35 (il ramo chiude a fine 2026)
8.1 e precedentinessuna release ufficiale: si cambia ramo

La pagina mostra anche le mitigazioni temporanee consigliate da php.net (session.upload_progress.enabled, post_max_size, expose_php) e, con un clic, le scrive in un .user.ini con copia di riserva. Poi rilegge i valori dal vivo: contano quelli, non il file.

Cosa NON fa. Non aggiorna PHP: su un hosting condiviso lo può fare solo il pannello, su un server tuo il pacchetto. La mitigazione copre una sola delle due falle e non sostituisce l'aggiornamento. Se il tuo hosting non ha ancora la versione corretta, cambia ramo (8.3 o 8.4) e ricontrolla ogni giorno finché non la vedi.

Perché l'abbiamo fatto

Il giorno delle patch abbiamo messo in sicurezza i nostri siti e quelli che gestiamo, e la prima cosa che ci è servita è stata proprio questa: una pagina che dice la verità sul PHP che gira. L'hosting la aggiorna quando vuole lui; nel frattempo serve qualcuno che guardi ogni giorno. Se preferisci che lo facciamo noi, dal controllo alla patch, prenota una call.

English

A single free PHP file: upload it to your site root, open it in the browser and read which PHP really serves your pages, whether it is vulnerable to PHP2Shell (CVE-2026-109618 / CVE-2026-109619), which temporary mitigations are on, and where to click in your hosting panel to update. It sends nothing anywhere and deletes itself after 60 minutes. The page switches to English from ?lang=en.

Fonti: php.net · CISA · Aikido Security · Wiz Research. Strumento di Astra Digital di Mattia Calastri, Verona. Cookie e privacy.