PHP rilascia aggiornamenti d'emergenza per due falle critiche (CVE-2026-109618 e CVE-2026-109619) note come PHP2Shell, che consentono l'esecuzione di codice remoto senza autenticazione. L'impatto è elevato, specialmente su configurazioni Apache mod_php.
Il team di sviluppo di PHP ha rilasciato aggiornamenti di sicurezza urgenti per correggere due vulnerabilità critiche, denominate collettivamente PHP2Shell. Queste falle, identificate con i codici CVE-2026-109618 e CVE-2026-109619, permettono a un attaccante di eseguire codice arbitrario su un server web senza la necessità di autenticarsi. Entrambe le vulnerabilità sono state classificate con un punteggio di 9.2 secondo lo standard CVSS v4.0, indicando un rischio elevato.
Le falle interessano diverse configurazioni comuni di PHP, tra cui PHP-FPM, Apache mod_php, php-cgi, FrankenPHP e LiteSpeed. La notifica ufficiale di PHP ha messo in guardia amministratori di sistema e provider di hosting sulla necessità di applicare le patch il prima possibile.
La scoperta di queste vulnerabilità è attribuita a ricercatori di sicurezza. La società Wiz, di proprietà di Google, ha identificato entrambe le falle grazie all'ausilio di strumenti basati sull'intelligenza artificiale. In parallelo, OpenAI ha segnalato che la società di cybersecurity Calif ha individuato una delle falle critiche utilizzando GPT-5.6 Sol, nell'ambito dell'iniziativa "Patch the Planet". Lo sviluppo e il rilascio delle correzioni sono stati guidati dai manutentori di PHP, con il supporto dei ricercatori e dei fornitori di infrastrutture.
Le vulnerabilità PHP2Shell derivano da errori nella gestione della memoria all'interno dell'interprete PHP. La prima falla, CVE-2026-109618, si manifesta quando il sistema esaurisce la memoria disponibile. In queste condizioni, il processo di pulizia di PHP può operare su dati parzialmente preparati o non validi, portando all'esecuzione di codice remoto. I ricercatori hanno confermato la possibilità di sfruttare questa vulnerabilità su configurazioni Apache mod_php con limiti di input e memoria predefiniti.
La seconda vulnerabilità, CVE-2026-109619, consente che informazioni relative a una richiesta precedente rimangano accessibili anche dopo che la memoria associata è stata liberata. Una richiesta successiva gestita dallo stesso processo worker può quindi agire su questi dati residui, aprendo la strada alla divulgazione di informazioni sensibili o all'esecuzione di codice. Gli attacchi sono stati validati sia contro mod_php che contro PHP-FPM, sebbene per quest'ultimo sia richiesta una specifica condizione operativa all'interno dell'applicazione.
È importante notare che, sebbene l'uso di più processi worker possa ridurre la probabilità di successo per singola richiesta, non elimina il rischio intrinseco della vulnerabilità.
I manutentori di PHP ritengono che le installazioni che utilizzano Apache mod_php siano particolarmente a rischio. È stato dimostrato che un attacco può avere successo prima ancora che il codice effettivo del sito web venga eseguito. Sfruttando queste falle, un attaccante può ottenere i permessi del processo che gestisce le richieste web. Questo accesso può consentire l'esposizione di file dell'applicazione e credenziali, ma non garantisce automaticamente privilegi di amministratore sull'intero server.
Le condizioni specifiche per l'attacco variano a seconda della configurazione del server, dell'applicazione e delle estensioni installate. Gli avvisi ufficiali di PHP forniscono dettagli su questi scenari.
Gli amministratori di sistema sono invitati a installare immediatamente la versione corretta per il proprio ramo di PHP. Le distribuzioni Linux e i fornitori di supporto a lungo termine (LTS) hanno ricevuto le patch in anticipo. Le organizzazioni che utilizzano pacchetti gestiti dai fornitori dovrebbero verificare gli avvisi di sicurezza specifici per assicurarsi che le correzioni siano incluse.
Per le versioni di PHP fuori dal normale periodo di supporto (come PHP 8.1 e precedenti), sono state fornite patch sorgente minime per PHP 7.4, 8.0 e 8.1. Gli utenti di versioni ancora più vecchie sono consigliati a passare a una release supportata o a consultare il proprio fornitore.
Gli utenti di hosting gestito devono contattare il proprio provider per confermare che l'ambiente PHP sia stato aggiornato. È fondamentale ricordare che l'aggiornamento di piattaforme come WordPress, inclusi i suoi plugin e temi, non sostituisce l'installazione del runtime PHP sul server.
Per coloro che non possono applicare immediatamente le patch, sono state suggerite alcune misure di mitigazione temporanee consultando gli avvisi ufficiali. Queste includono la disabilitazione del monitoraggio del progresso dei caricamenti di sessione e, su PHP 8.5, la disabilitazione dei backtrace degli errori fatali, seguite dal riavvio di tutti i processi worker di PHP. Tuttavia, PHP avverte che queste modifiche non coprono tutti i vettori di attacco possibili e che l'installazione completa delle patch rimane la soluzione definitiva.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
