Due bug di PHP, valutati con CVSS 9.2, consentono l’esecuzione remota di codice senza autenticazione; gli esperti avvertono di patchare subito le versioni supportate.
Negli ultimi giorni la comunità della sicurezza ha acceso i riflettori su due vulnerabilità di PHP, il linguaggio di scripting più diffuso per lo sviluppo web. Identificate con i codici CVE‑2026‑109618 e CVE‑2026‑109619, le falle permettono a un aggressore di eseguire codice arbitrario su server web senza alcuna credenziale. Con un punteggio CVSS v4.0 di 9.2, le vulnerabilità sono classificate come critiche e hanno già generato segnalazioni di tentativi di sfruttamento in ambienti di produzione.
Entrambe le vulnerabilità condividono un punto comune: non è necessario alcun login. Basta inviare una richiesta HTTP al server vulnerabile e, se la configurazione è quella di default, l’attacco può avvenire prima ancora che il codice dell’applicazione venga interpretato.
PHP è installato su una vasta gamma di infrastrutture, dalle grandi imprese ai piccoli siti di enti locali, passando per servizi di pubblica amministrazione e piattaforme di e‑commerce. Le versioni supportate al momento della scoperta – 8.2, 8.3, 8.4 e 8.5 – sono tutte affette. Le versioni più vecchie non ricevono più aggiornamenti, il che costringe gli amministratori a eseguire un upgrade o a ricorrere a patch retroportate.
Il PHP Foundation ha evidenziato che il rischio è più elevato per le installazioni che utilizzano mod_php (il modulo Apache). In questi scenari, l’attacco può avvenire prima che il codice dell’applicazione venga caricato, rendendo la difesa più complessa. Altre configurazioni, come PHP‑FPM, php‑cgi, FrankenPHP e LiteSpeed, sono anch’esse vulnerabili, ma con una superficie di attacco leggermente inferiore.
Il primo avviso pubblico è stato diffuso da WatchTowr, che ha pubblicato un blog dettagliato e ha mostrato un proof‑of‑concept denominato PHP2Shell. Il team ha anche confermato di aver osservato tentativi di sfruttamento in ambienti reali, sebbene non siano ancora state segnalate compromissioni confermate.
Le autorità di sicurezza, tra cui il National Cyber Security Centre (NCSC) dei Paesi Bassi, hanno consigliato di sospendere temporaneamente i servizi web per ridurre l’esposizione, mentre gruppi come l’Independent Federated Intelligence Network hanno lanciato appelli sui social per avvisare scuole, enti pubblici e organizzazioni non profit, spesso privi di team di sicurezza dedicati.
John Hammond di Huntress ha sottolineato che, sebbene la fuga delle informazioni abbia accelerato la risposta difensiva, ha anche fornito ai potenziali aggressori un “early warning” per sfruttare le vulnerabilità con l’aiuto di AI e LLM.
Il caso PHP2Shell mette in luce una sfida strutturale per i progetti open‑source: la necessità di risorse dedicate per la gestione di vulnerabilità critiche. Patrick Münch, CSO di Mondoo, ha elogiato la rapidità della risposta del PHP Foundation, ma ha avvertito che la dipendenza da volontari può limitare la capacità di reagire a minacce di ampia scala.
Per le organizzazioni, la lezione più importante è non sottovalutare le dipendenze di terze parti. Un inventario continuo, combinato con una strategia di patch management automatizzata, è fondamentale per ridurre il “window of exposure”. Inoltre, l’adozione di soluzioni di runtime protection (ad esempio, Web Application Firewalls con capacità di rilevare comportamenti anomali) può fornire un ulteriore strato di difesa mentre le patch vengono distribuite.
Le vulnerabilità CVE‑2026‑109618 e CVE‑2026‑109619 rappresentano una delle più gravi minacce recenti per l’ecosistema web. Con un impatto potenziale su milioni di server, la risposta deve essere rapida e coordinata: aggiornare, monitorare e, se necessario, isolare i sistemi vulnerabili. Il caso evidenzia anche la necessità di un finanziamento più consistente per i progetti open‑source, affinché possano mantenere un livello di sicurezza adeguato in un panorama di minacce in costante evoluzione.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
