Due falle di livello 9.2 (CVE‑2026‑109618 e CVE‑2026‑109619) colpiscono il motore PHP, permettendo a chiunque di eseguire codice sul server web. L’unica soluzione è l’aggiornamento immediato delle versioni in uso.
Nel mese di ottobre 2026, la comunità PHP ha ricevuto una comunicazione di emergenza: due vulnerabilità critiche, denominate collettivamente PHP2Shell, sono state identificate nel runtime del linguaggio. Il loro impatto è enorme, poiché non dipendono dal codice di un’applicazione ma dal motore stesso. Un singolo request HTTP, senza alcuna autenticazione, può far girare codice arbitrario sul server. Le falle sono state valutate con un punteggio CVSS v4.0 9.2 e sono state assegnate i numeri CVE‑2026‑109618 e CVE‑2026‑109619.
Queste vulnerabilità interessano quasi tutte le versioni di PHP, dalla 5.4 fino alle ultime release 8.x, e colpiscono i principali moduli di integrazione con i web server: Apache mod_php, PHP‑FPM, php‑cgi, FrankenPHP e LiteSpeed. Il fatto che l’attacco avvenga prima dell’esecuzione del codice dell’applicazione rende anche i siti “Hello World” vulnerabili.
Le due vulnerabilità sfruttano un percorso di memoria non protetto all’interno del motore PHP. In pratica, un attaccante può:
Il primo percorso è stato dimostrato con successo su mod_php, dove un singolo request provoca l’esecuzione di codice. Su PHP‑FPM l’attacco è più complesso: la vulnerabilità è attiva, ma l’esecuzione di codice richiede un’operazione interna all’applicazione. In entrambi i casi, l’attacco è possibile senza alcuna credenziale.
Il team PHP ha pubblicato alcune configurazioni di mitigazione, ma ha sottolineato che l’unica soluzione definitiva è l’aggiornamento. Le misure consigliate includono:
memory_limit=-1, mantenere post_max_size basso e applicare limiti di dimensione delle richieste a livello di web server o proxy.session.upload_progress.enabled (impostandolo a 0) e riavviare i worker. Su PHP 8.5 è consigliato anche fatal_error_backtraces=0.Tuttavia, queste configurazioni non eliminano il rischio: possono solo ridurre la probabilità di attacco su percorsi specifici. Il team ha chiarito che nessuna impostazione di configurazione può garantire la sicurezza senza l’aggiornamento.
| Versione PHP | Patch disponibile | Come aggiornare |
|---|---|---|
| 8.5 | 8.5.12 | Aggiornare tramite pacchetto di distribuzione o compilazione da sorgente |
| 8.4 | 8.4.27 | Come sopra |
| 8.3 | 8.3.36 | Come sopra |
| 8.2 | 8.2.35 | Come sopra |
| 8.1 e versioni precedenti | Nessun aggiornamento ufficiale | Utilizzare backport di sicurezza forniti da PHP per 7.4, 8.0 e 8.1 |
I sistemi Linux e i fornitori LTS hanno già distribuito i pacchetti patch. È fondamentale verificare il changelog per i CVE, non solo la versione del pacchetto. Dopo l’aggiornamento, è consigliabile riavviare Apache, PHP‑FPM e qualsiasi worker PHP in esecuzione.
Anche se l’attacco è stato mitigato, è possibile che un server sia stato compromesso prima dell’aggiornamento. I seguenti indicatori possono suggerire una violazione:
memory_limit.PHPSESSID di dimensioni anomale.Monitorare i log di sistema e di applicazione è essenziale per individuare eventuali attività anomale.
PHP è il motore di backend di milioni di siti web, inclusi CMS come WordPress, Drupal e Joomla, nonché framework come Laravel e Symfony. Un attacco riuscito potrebbe compromettere dati sensibili, esporre credenziali di amministrazione e consentire la distribuzione di malware. La natura “zero‑auth” dell’attacco lo rende particolarmente pericoloso per le infrastrutture web di piccole e medie imprese, che spesso non dispongono di sistemi di rilevamento avanzati.
La vulnerabilità PHP2Shell è un chiaro esempio di come un difetto a livello di runtime possa avere conseguenze catastrofiche. La comunità deve agire rapidamente: aggiornare il runtime PHP, riavviare i servizi e, se possibile, implementare misure di mitigazione temporanee. La sicurezza di un sito web non dipende solo dal codice dell’applicazione, ma anche dalla solidità del motore che lo esegue.
Il messaggio è chiaro: non c’è alternativa all’aggiornamento. Ignorare la patch non è un’opzione, perché la vulnerabilità è già stata sfruttata in ambienti di produzione. Gli amministratori di sistema, i dev‑ops e i responsabili della sicurezza devono verificare immediatamente la versione PHP in uso e applicare le correzioni.
Nota: questo articolo è stato scritto per fornire una panoramica completa e aggiornata delle vulnerabilità PHP2Shell. Si consiglia di consultare la documentazione ufficiale di PHP e le linee guida dei fornitori di distribuzione per dettagli specifici sull’implementazione delle patch.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.