PHP2Shell, falle critiche in PHP già sfruttate: cosa aggiornare

Due vulnerabilità critiche nel linguaggio PHP, ribattezzate PHP2Shell, sono già sfruttate dagli attaccanti. Su sistemi vulnerabili e non aggiornati possono consentire l’esecuzione remota di codice senza password e senza alcuna azione della vittima. Su PHP gira circa il 70% dei siti web: dai blog in WordPress ai portali della pubblica amministrazione.

La PHP Foundation ha rilasciato le correzioni mercoledì 21 ottobre. Ma secondo TechCrunch, entro la fine di venerdì Palo Alto Networks e Trail of Bits hanno confermato le prime compromissioni, con attività successiva all’intrusione. Banche, negozi online, ospedali e alcune agenzie governative hanno spento i server per precauzione.

PHP2Shell: cosa sono le due falle

Le vulnerabilità sono la CVE-2026-109618 e la CVE-2026-109619. Entrambe hanno un punteggio di gravità di 9,2 su 10 (CVSS 4.0). Il 10 circolato nei giorni scorsi era sbagliato, precisa la PHP Foundation.

Il difetto sta in come PHP gestisce gli errori di memoria esaurita e gli errori fatali. Secondo l’analisi di Unit 42, la divisione di ricerca di Palo Alto Networks, il primo bug lascia memoria non inizializzata; il secondo lascia puntatori a memoria già liberata, che le richieste successive possono leggere. Il risultato, in entrambi i casi, è l’esecuzione di codice arbitrario.

La configurazione più esposta è Apache con mod_php, dove una richiesta anonima può innescare il bug prima ancora che parta il codice del sito. L’esecuzione remota è stata confermata anche su PHP-FPM, la configurazione più diffusa negli hosting moderni, ma attraverso percorsi del codice applicativo.

Le versioni da installare

Le versioni corrette sono PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. La PHP Foundation definisce l’aggiornamento «imperativo». Chi ha un sito su hosting condiviso deve verificare con il proprio fornitore che l’aggiornamento sia stato fatto; chi gestisce un server in proprio deve installarlo direttamente e riavviare i servizi PHP. Unit 42 conta oltre 22,6 milioni di istanze esposte potenzialmente vulnerabili.

Un embargo saltato e attacchi prima della patch

La gestione della divulgazione è stata caotica. Il 20 ottobre i codici CVE sono trapelati online, con orario e punteggio sbagliati. In serata Calif, la società che aveva segnalato uno dei bug, ha pubblicato per errore un video della dimostrazione, che ha accelerato lo sviluppo di exploit. La mattina del 21 Chainguard ha distribuito immagini già corrette sei ore prima dell’uscita coordinata. La Foundation ha anticipato il rilascio di un giorno.

Amazon, secondo TechCrunch, ha rilevato sfruttamenti circa una settimana prima delle patch e consiglia di cercare attività sospette a partire dal 17 ottobre. Unit 42 descrive un attacco contro un ente governativo europeo condotto con una piattaforma di agenti AI: in due ore gli aggressori avevano raggiunto hash delle password e segreti dell’autenticazione a due fattori.

Non è ancora noto quanti sistemi siano stati violati, né in quali Paesi. Nelle fonti consultate non risultano al momento vittime italiane confermate.

Dietro la notizia: la sicurezza di PHP ha risorse limitate

In Italia PHP è ovunque: siti dei Comuni, scuole, piccole imprese, testate locali. Molti girano su hosting economici o su server mai aggiornati da anni, magari con versioni di PHP fuori supporto per cui non esiste alcuna correzione. È lì che il rischio è massimo, e nessuno lo sta censendo.

Il dettaglio più rivelatore è nel post della PHP Foundation: la fondazione chiede alle aziende che dipendono da PHP di contribuire maggiormente al finanziamento della sicurezza. Il progetto dispone di sviluppatori finanziati e donazioni, ma le risorse dedicate restano limitate rispetto alla diffusione del linguaggio. Sul fronte della scoperta, OpenAI ha segnalato in modo indipendente la stessa causa principale e ulteriori vettori, mentre Wiz ha contribuito con altre segnalazioni e verifiche. La capacità di trovare vulnerabilità cresce rapidamente; mantenerne la correzione e il coordinamento resta invece un lavoro costoso.

Il tema dell’AI che scova falle in massa lo avevamo già affrontato con le 129mila vulnerabilità trovate da Claude.

Come lavoriamo: questo articolo è curato dalla redazione di Dietro le Notizie con il supporto di strumenti di intelligenza artificiale ed è verificato sulle fonti indicate. Le analisi sono della redazione.