Il 21 ottobre 2026 il team di sicurezza di PHP ha pubblicato aggiornamenti d’emergenza per due vulnerabilità critiche, ribattezzate PHP2Shell, che permettono di eseguire codice sul server senza alcuna autenticazione. Per chi gestisce un accesso remoto sicuro aziendale (il gestionale aperto agli agenti, l’intranet raggiungibile da casa, il pannello usato dal fornitore) la notizia pone una domanda scomoda: quante delle tue applicazioni web rispondono oggi a chiunque su Internet?

In questo articolo vediamo cosa è successo, perché le vulnerabilità che colpiscono prima del login cambiano il modo di ragionare sull’accesso remoto, e le sette mosse concrete per non ritrovarti la prossima volta con un server esposto e una patch ancora da installare.