Nuove fonti confermano la gravità delle vulnerabilità PHP2Shell (CVE-2026-109618, CVE-2026-109619), rivelando attacchi coordinati da gruppi AI e una fuga di informazioni che ha preceduto la divulgazione ufficiale.
Le vulnerabilità critiche scoperte nel linguaggio di scripting PHP, collettivamente note come PHP2Shell e identificate dalle sigle CVE-2026-109618 e CVE-2026-109619, continuano a destare profonda preoccupazione nel settore della sicurezza informatica. Valutate con un punteggio CVSS 9.2, queste falle permettono l'esecuzione di codice arbitrario da remoto (RCE) su server PHP, con un impatto potenziale che si estende a quasi tutte le versioni rilasciate negli ultimi dieci anni, a partire dalla 5.4.
Nuove informazioni provenienti da Amazon Threat Intelligence confermano e amplificano la gravità e la pervasività di PHP2Shell. Ricercatori dell'azienda hanno rilevato tentativi di sfruttamento già il 17 ottobre 2026, ben quattro giorni prima della divulgazione pubblica prevista per il 21 ottobre. Questi attacchi iniziali sono stati osservati su un sistema interno di monitoraggio, il MadPot honeypot, e provenivano da un indirizzo IP associato a reti di anonimizzazione commerciale. Sebbene l'origine esatta rimanga incerta, la natura dell'attività suggerisce l'intervento di attori malevoli sofisticati, capaci di ottenere informazioni sulle vulnerabilità prima della loro divulgazione ufficiale. L'impiego di strumenti di intelligenza artificiale da parte di Amazon ha giocato un ruolo cruciale nell'identificazione di questi tentativi di sfruttamento.
La situazione è ulteriormente complicata da una fuga di dettagli su un forum di sviluppatori il 20 ottobre, un giorno prima della pubblicazione ufficiale. Questo evento ha costretto diverse organizzazioni, tra cui amministrazioni pubbliche francesi, il Centro Nazionale per la Sicurezza Informatica olandese e l'Università di Vienna, a disattivare temporaneamente i propri siti web per prepararsi all'applicazione delle correzioni.
Con il rilascio delle patch da parte della PHP Foundation, la situazione è rapidamente degenerata. Amazon ha confermato che, poco dopo la divulgazione, sono emersi numerosi proof-of-concept (PoC) per PHP2Shell. Questi script sono stati immediatamente utilizzati per attaccare i sensori dell'azienda. La diversità dei payload e l'uso di infrastrutture anonimizzate indicano chiaramente il coinvolgimento di molteplici gruppi di attaccanti. Amazon ha avvertito che le vulnerabilità sono "ampiamente sfruttate in natura".
Matthew Prince, co-fondatore e CEO di Cloudflare, ha riportato che la sua azienda ha registrato migliaia di tentativi di sfruttamento nelle 10 ore precedenti la divulgazione, cifra poi salita a decine di migliaia nei 45 minuti successivi all'annuncio, centinaia di migliaia entro due ore e milioni nel periodo seguente. Anche altre importanti società di sicurezza, tra cui Beelzebub, Ellio, Recorded Future, VulnCheck, WatchTowr e Wiz, hanno osservato evidenze di sfruttamento attivo a livello globale.
Le nuove fonti evidenziano un aspetto preoccupante: l'uso di intelligenza artificiale da parte di gruppi criminali per coordinare attacchi su larga scala. Ricercatori di Straiker hanno documentato un'operazione che ha preso di mira oltre 400 organizzazioni finanziarie in America Latina, utilizzando agenti basati su modelli come Claude, Grok e Moonshot AI. Questi agenti collaborano per identificare bersagli, individuare vulnerabilità e raccogliere credenziali. Sebbene il numero si riferisca alle organizzazioni prese di mira e non alle violazioni riuscite, questo dimostra una crescente sofisticazione e automazione negli attacchi informatici.
Le vulnerabilità risiedono nei meccanismi di gestione della memoria e degli errori di PHP, componenti fondamentali presenti in ogni richiesta HTTP. La loro natura pre-autenticazione e la capacità di eseguire codice arbitrario rendono l'attacco estremamente pericoloso. Un aspetto critico è la quasi totale assenza di tracce nei log applicativi. L'unico indizio potenziale potrebbe essere un errore di limite di memoria (memory limit fatal error) nei log del web server, rendendo la rilevazione estremamente ardua per i sistemi di monitoraggio tradizionali.
Considerando che PHP alimenta circa il 69.7% dei siti web globali, secondo i dati W3Techs (con alcune stime che arrivano fino all'80%), l'impatto potenziale di PHP2Shell è immenso. Piattaforme popolari come WordPress, Drupal, Joomla e Magento, così come innumerevoli servizi web e di e-commerce, sono potenzialmente a rischio. VirusTotal traccia oltre 5.1 milioni di host PHP esposti online, con circa 3.8 milioni che presentano almeno una porta aperta agli attacchi.
Le autorità di sicurezza globali, tra cui il U.K. National Cyber Security Centre (NCSC), la U.S. Cybersecurity and Infrastructure Security Agency (CISA), l'FBI e l'NSA, hanno emesso avvisi urgenti. Le raccomandazioni principali includono l'applicazione immediata delle patch rilasciate dalla PHP Foundation per le versioni supportate (PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12).
Per le organizzazioni che utilizzano versioni non più supportate di PHP (come PHP 8.1 e precedenti, incluse tutte le versioni 7 e 5), che non riceveranno patch ufficiali, la migrazione a una versione supportata è considerata una priorità assoluta. Il team di PHP ha sottolineato che l'applicazione delle patch ufficiali è l'unica difesa permanente.
In attesa dell'applicazione delle patch, o come misure complementari, sono state suggerite alcune strategie di mitigazione:
multipart/form-data e imponendo restrizioni sulla dimensione dei corpi delle richieste, delle sezioni multipart e degli header.Queste misure, tuttavia, non sostituiscono l'applicazione delle patch ufficiali. AWS suggerisce inoltre di monitorare i log del web server per richieste sospette, in particolare richieste POST contenenti la stringa PHP_SESSION_UPLOAD_PROGRESS nei dati del modulo multipart, e di cercare processi inaspettati avviati da PHP o modifiche non giustificate ai file sui server delle applicazioni web.
L'incidente PHP2Shell evidenzia diverse lezioni cruciali:
PHP2Shell rappresenta un campanello d'allarme significativo. La sua facilità di sfruttamento, la capacità di operare in modo occulto e la sua diffusione su una tecnologia fondamentale come PHP la rendono una delle minacce più pericolose degli ultimi anni. La protezione contro PHP2Shell è ora una priorità assoluta per la sicurezza del web globale, e come avverte CJ Moses, Chief Information Security Officer di AWS, "i difensori non dovrebbero presumere che la data di divulgazione pubblica sia la prima data di sfruttamento."
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.