PHP2Shell: perché i negozi WhizzyCommerce non sono colpiti

PHP2Shell è il nome dato a due falle nello stesso PHP, CVE-2026-109618 e CVE-2026-109619, ciascuna valutata 9,2 su 10. Secondo Sansec, tutte le versioni di PHP dalla 5.4 (2012) sono colpite, sia con Apache mod_php sia con PHP-FPM, nelle impostazioni predefinite. L'attacco è una richiesta di caricamento file costruita apposta, che PHP elabora prima ancora che parta il codice del negozio. Per questo un Magento, WordPress o Shopware perfettamente aggiornato è esposto quanto uno trascurato.

Due cose lo rendono peggiore del solito. La modalità manutenzione non aiuta, perché PHP legge la richiesta prima che l'applicazione la controlli. E oltre a eseguire codice, la falla può far trapelare memoria di richieste precedenti: password, sessioni, chiavi API e perfino chiavi private TLS. L'avviso ufficiale di PHP dice che non esiste una mitigazione completa e che aggiornare è l'unica correzione totale. Attacchi reali sono stati segnalati nel giro di poche ore.

WhizzyCommerce non usa PHP. Né nei negozi, né nel checkout, né nel pannello. Una falla nel motore di PHP non ha dove girare.

Non devi fare nulla. Nessun aggiornamento da installare, nessuna impostazione da cambiare, nessuna chiave da ruotare per questo. Server, aggiornamenti di sicurezza e il software dietro ogni negozio sono compito nostro, ed è a questo che serve una piattaforma ospitata: la prossima falla a livello di motore, in qualunque linguaggio arrivi, la correggiamo noi, non tu.

1. 1

   Aggiorna PHP subito

   Le versioni corrette sono 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Aggiornare Magento o i plugin non basta; è PHP stesso che deve cambiare. Su un hosting gestito, chiedi al fornitore di confermare la versione per iscritto.

2. 2

   Con PHP 8.1 o precedente, pianifica il salto

   Le versioni vecchie non ricevono correzioni. Di solito significa aggiornare anche il software del negozio, quindi inizia oggi e nel frattempo proteggi il server con il passo successivo.

3. 3

   Finché non aggiorni, blocca i caricamenti sul server web

   Sansec suggerisce di rifiutare le richieste multipart/form-data in nginx o Apache, oppure di servire solo GET e HEAD. Entrambe le soluzioni rompono moduli e caricamenti di file, quindi prova il checkout dopo. Attivare la modalità manutenzione dell'applicazione non basta.

4. 4

   Considera che dei segreti possano essere trapelati

   Se il server ha usato un PHP non corretto dal 20 ottobre in poi, cambia le password del database e dell'admin, ruota le chiavi di pagamento e API e valuta di sostituire il certificato TLS. Cerca file PHP che non riconosci nelle cartelle scrivibili come pub/media.

5. 5

   Elimina gli avanzi

   Vecchi script di installazione, strumenti di test e importatori dimenticati nella root del sito sono la prima cosa che un attaccante richiama quando può eseguire codice. Se hai usato il nostro connettore Magento, verifica che pub/whizzy/import.php sia stato cancellato.

Molti commercianti aggiornano PHP questa settimana e decidono che sarà l'ultima volta. Se è il tuo caso, ecco com'è un passaggio a WhizzyCommerce. Dopo non c'è PHP da correggere, né server, né aggiornamenti di sicurezza nella tua lista: quella parte è nostra.

Chiedi su passare da Magento e rispondiamo entro un giorno lavorativo. Prima del passaggio, leggi come lasciare Magento senza perdere posizioni su Google e, se la tua versione sta perdendo supporto, la fine del supporto di Magento 2.

• Lo facciamo noi, gratis. Per i primi 100 negozi che lasciano Magento, una persona del nostro team si occupa del passaggio, controlla cosa è arrivato e ti consegna il negozio pronto ad aprire.
• Arriva tutto il negozio. Categorie, prodotti con varianti e immagini, clienti, ordini e promozioni. I clienti scelgono una nuova password al primo accesso, e gli ordini arrivano come storico, senza nulla da spedire o rimborsare.
• Prima una prova. L'importatore mostra cosa porterà prima di scrivere qualsiasi cosa, ed è un unico file sul tuo Magento che cancelli alla fine.
• Le posizioni su Google restano. I vecchi indirizzi di prodotti e categorie passano alle nuove pagine con redirect 301, compresi quelli di Magento stesso.
• Gratis finché non vendi. Nessun canone mensile sul piano Free; paghi una piccola commissione solo quando arriva un ordine.