Il PHP Security Team ha rilasciato aggiornamenti d'urgenza per le vulnerabilità PHP2Shell (CVE-2026-109618 e CVE-2026-109619), che consentono l'esecuzione remota di codice. Le patch sono disponibili per le versioni 8.x, mentre le versioni precedenti richiedono migrazioni o fix specifici.
La comunità di sviluppo web è in allerta a seguito del rilascio di patch d'emergenza da parte del PHP Security Team per due vulnerabilità critiche, identificate come CVE-2026-109618 e CVE-2026-109619. Queste falle, collettivamente note come PHP2Shell, rappresentano un serio rischio di Remote Code Execution (RCE) e interessano tutte le installazioni PHP che servono richieste web, inclusi ambienti come PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed.
Il PHP Security Team ha classificato entrambe le vulnerabilità con un punteggio CVSS v4.0 di 9.2, sottolineando la loro elevata gravità e facilità di sfruttamento. Le prime analisi indicavano un potenziale problema legato alla gestione della memoria, in particolare difetti di tipo use-after-free durante il caricamento di file. Le nuove informazioni confermano che entrambe le falle derivano da un problema comune: PHP può lasciare la sua memoria in uno stato corrotto quando una richiesta termina in modo anomalo. Questo stato può essere sfruttato per ottenere l'esecuzione di codice arbitrario sul server.
Le due vulnerabilità, sebbene correlate, presentano meccanismi di sfruttamento distinti:
L'impatto potenziale è significativo: un attaccante potrebbe ottenere il controllo completo del server web, accedere a dati sensibili, rubare credenziali, modificare contenuti o utilizzare il server compromesso per lanciare ulteriori attacchi. La gravità è ulteriormente accentuata dal fatto che PHP alimenta una percentuale altissima di siti web (stimata tra il 75% e l'80%), inclusi molti basati su CMS popolari come WordPress, Joomla e Drupal.
Il PHP Security Team ha rilasciato patch d'urgenza, raccomandando l'installazione immediata delle seguenti versioni:
Per gli utenti che utilizzano versioni di PHP 7 o precedenti, è consigliata la migrazione a una versione supportata. Il team ha specificato che PHP 8.1 e versioni precedenti non ricevono più aggiornamenti dal progetto PHP. Alcune distribuzioni e fornitori LTS (Long Term Support) potrebbero offrire fix backportati, ma l'aggiornamento a una versione supportata rimane la soluzione più sicura. Per coloro che compilano da sorgente o non hanno accesso a vendor LTS, sono stati forniti source-backports minimi per PHP 7.4, 8.0 e 8.1.
Prima del rilascio delle patch, il PHP Security Team aveva emesso un avviso anticipato per preparare gli amministratori. È stato sottolineato che nessuna misura di mitigazione temporanea può bloccare completamente gli attacchi; l'unica difesa permanente è l'applicazione degli aggiornamenti ufficiali.
Cloudflare ha implementato rapidamente regole di Web Application Firewall (WAF) per bloccare i tentativi di sfruttamento già osservati, rendendole disponibili a tutti i clienti. Tuttavia, l'azienda ha confermato che queste protezioni sono temporanee e ha esortato gli amministratori ad applicare le patch PHP non appena disponibili. Anche il UK National Cyber Security Centre (NCSC) ha avvisato le organizzazioni britanniche di aggiornare immediatamente i sistemi PHP o di metterli offline fino alla patch.
Per coloro che non possono applicare immediatamente le patch, sono state condivise alcune misure di mitigazione temporanea che possono ridurre l'esposizione:
memory_limit=-1 (preferibilmente tramite php_admin_value nella configurazione FPM o Apache).post_max_size basso (es. 8MB per applicazioni senza upload, 32MB se necessari).session.upload_progress.enabled=0.fatal_error_backtraces=0.È importante notare che la discussione sulla direttiva session.upload_progress.enabled era emersa come potenziale misura, ma la disabilitazione di questa funzionalità (abilitata di default) non neutralizza completamente la minaccia, anche se può ridurre la superficie d'attacco. La raccomandazione principale rimane l'applicazione tempestiva degli aggiornamenti ufficiali rilasciati dal PHP Foundation.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.