Nuove informazioni emergono riguardo alle vulnerabilità PHP2Shell, evidenziando la potenziale inefficacia di alcune mitigazioni e l'importanza cruciale dell'aggiornamento ufficiale. L'analisi si estende anche a un massiccio aggiornamento di Google Chrome.
Le vulnerabilità critiche nel linguaggio di scripting PHP, precedentemente identificate come PHP2Shell, continuano a destare preoccupazione nel panorama della sicurezza informatica. Sebbene il team di sviluppo di PHP abbia rilasciato una patch correttiva per queste falle, valutate con un punteggio di gravità di 9.2 su 10, nuove informazioni dalle fonti indicano che la situazione potrebbe essere più complessa del previsto.
Le vulnerabilità PHP2Shell, sebbene i dettagli tecnici completi siano stati resi noti contestualmente alla patch, sembrano consentire l'esecuzione di codice arbitrario sui server web compromessi. Questo scenario rappresenta una minaccia di elevata gravità, poiché potrebbe permettere agli aggressori di ottenere il controllo completo del server, esfiltrare dati sensibili, distribuire malware o utilizzarlo come punto di partenza per attacchi più ampi.
Il rilascio della correzione da parte del team PHP è avvenuto il 21 ottobre alle 14:00 UTC. Prima di tale data, il progetto non aveva fornito indicazioni ufficiali su come mitigare il rischio, né aveva specificato le versioni interessate o le parti del codice coinvolte.
Nei giorni precedenti al rilascio della patch, si era diffusa una soluzione temporanea (workaround) che suggeriva di disabilitare la funzionalità Session Upload Progress impostando session.upload_progress.enabled=0. Questa funzionalità, attiva di default in PHP, serve a monitorare l'avanzamento dei caricamenti di file. L'idea era di impedire che tale meccanismo potesse essere sfruttato per l'esecuzione di codice malevolo.
Tuttavia, nuove analisi e dichiarazioni da parte di esperti di sicurezza mettono in dubbio l'efficacia di questa mitigazione. GMO Flatt Security, inizialmente promotrice di questa modifica, ha successivamente ritrattato, affermando che la disabilitazione di Session Upload Progress da sola non è una protezione completa e che gli attaccanti potrebbero trovare modi per aggirarla. Anche un core developer di PHP ha ribadito che l'unica soluzione definitiva è l'aggiornamento del software.
Le ragioni di questa inaffidabilità sono molteplici:
Nonostante queste avvertenze, alcune aziende continuano a proporre la disabilitazione di Session Upload Progress come mitigazione immediata, basandosi su analisi di terze parti piuttosto che su test interni. Altre realtà, come watchTowr, hanno confermato la presenza delle falle ma hanno dichiarato che al momento non esistono patch o workaround confermati.
Se si è applicata la modifica session.upload_progress.enabled=0, non è necessario annullarla, ma è fondamentale non considerarla una soluzione definitiva. La documentazione ufficiale di PHP stessa consiglia di disabilitare questa funzionalità se non utilizzata, poiché i nomi dei file e dei campi "non sono validati e possono contenere codice PHP". L'unico effetto collaterale di questa modifica, se non si utilizzano barre di avanzamento per il caricamento, è che queste ultime smetteranno di funzionare.
È cruciale assicurarsi che la modifica sia effettivamente attiva sul processo che serve il traffico web (ad esempio, PHP-FPM o mod_php), e non solo sulla riga di comando. La direttiva session.upload_progress.enabled è di tipo INI_PERDIR, il che significa che può essere impostata in php.ini, .htaccess o .user.ini. La propagazione della modifica potrebbe richiedere tempo a seconda del metodo utilizzato e della configurazione del server.
Parallelamente alle vicende PHP, è emersa una notizia significativa riguardante Google Chrome. La versione 156 del browser è stata rilasciata per i canali stabili su Windows, macOS e Linux, affrontando ben 353 vulnerabilità di sicurezza, di cui sei classificate come critiche. Questo aggiornamento, annunciato il 20 ottobre 2026, corregge problemi di corruzione della memoria, errori di tipo use-after-free, vulnerabilità legate alla validazione dell'input e altre debolezze in vari componenti del browser.
Tra le vulnerabilità critiche spiccano cinque relative alla corruzione della memoria (in Skia, Accessibility, CSS, Paint e WebRTC) e una di tipo use-after-free che interessa Accessibility. È interessante notare come la ricerca di alcune di queste falle sia stata assistita da intelligenze artificiali, con riconoscimenti a ricercatori e a modelli come Claude e OpenAI Codex Security.
L'aggiornamento di Chrome affronta anche numerose vulnerabilità di alta gravità in componenti come ANGLE, V8, GPU processing, Canvas, Navigation, FileSystem e WebRTC. Google ha premiato i ricercatori che hanno segnalato alcune di queste falle, dimostrando un impegno continuo nel rafforzare la sicurezza del proprio browser.
È importante sottolineare che Google tende a limitare l'accesso ai dettagli delle vulnerabilità fino a quando la maggior parte degli utenti non avrà installato le patch, per prevenire sfruttamenti malevoli. Pertanto, le descrizioni pubblicate non dovrebbero essere interpretate come valutazioni tecniche complete della loro sfruttabilità.
Per gli amministratori di sistema che gestiscono server PHP, la priorità assoluta rimane la preparazione all'applicazione della patch ufficiale non appena disponibile. Le raccomandazioni includono:
L'aggiornamento dovrà essere applicato al runtime PHP che serve le richieste web (PHP-FPM, mod_php, CGI), non alle applicazioni che girano su di esso. PHP rilascia correzioni solo per i suoi quattro rami di supporto attuali (dalla versione 8.2 alla 8.5).
Per le organizzazioni che non possono aggiornare immediatamente o che utilizzano versioni non supportate di PHP, il CERT-EU consiglia di "considerare l'isolamento delle applicazioni esposte su Internet dalle reti pubbliche fino a quando non sarà possibile applicare una correzione".
In sintesi, le vulnerabilità PHP2Shell rappresentano un rischio elevato che richiede un'azione immediata. La disabilitazione di una singola funzionalità di configurazione non è sufficiente. L'unica difesa robusta consiste nell'applicare tempestivamente la patch ufficiale rilasciata da PHP, mentre l'aggiornamento di Google Chrome alla versione 156 è essenziale per proteggersi da un ampio spettro di minacce.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
