Nuove vulnerabilità critiche in PHP, denominate PHP2Shell, stanno venendo sfruttate attivamente dagli attaccanti. La lentezza nel rilascio delle patch da parte delle organizzazioni è fonte di grande preoccupazione per gli esperti di cybersecurity, data la complessità degli aggiornamenti.
Recenti scoperte hanno messo in luce una grave falla di sicurezza nel linguaggio di scripting PHP, soprannominata PHP2Shell. Le vulnerabilità, identificate come CVE-2026-109618 e CVE-2026-109619, hanno suscitato un'ondata di preoccupazione nel settore della cybersecurity a causa della velocità con cui vengono attivamente sfruttate dagli aggressori, contrapposta a una risposta di patching decisamente più lenta da parte delle organizzazioni.
I dati emersi a partire dal 21 ottobre hanno dipinto un quadro allarmante. Già nelle ore precedenti la divulgazione pubblica delle falle, Cloudflare ha registrato migliaia di tentativi di sfruttamento, cifra poi lievitata a centinaia di migliaia e milioni nelle ore successive. Check Point Research ha stimato che, nel giro di poco tempo, il 10% delle organizzazioni a livello mondiale fosse già nel mirino degli attacchi.
Parallelamente, l'adozione delle nuove versioni di PHP per correggere le vulnerabilità procede a rilento. Ricercatori di Ox Security hanno analizzato le istanze PHP esposte su Shodan, rilevando che oltre il 97.5% di esse non utilizzava ancora una versione patchata a distanza di giorni dalla disponibilità delle correzioni. Flare ha aggiunto che il 73% delle istanze analizzate utilizzava versioni di PHP non più supportate dalla PHP Foundation, e che anche tra quelle supportate, solo una piccola percentuale era stata effettivamente aggiornata.
Cisco Talos, basandosi su informazioni open source, ha previsto che circa la metà di tutti i sistemi PHP non riceverà mai le patch necessarie.
La ragione principale di questo ritardo, secondo gli esperti, risiede nella complessità degli aggiornamenti. A differenza di altri software, correggere le vulnerabilità PHP2Shell non si limita a un semplice clic su "Aggiorna".
Il primo passo fondamentale, unanimemente indicato dagli esperti, è l'inventario completo di tutte le istanze PHP presenti nell'infrastruttura aziendale. Questo compito si rivela più arduo del previsto, poiché PHP non è impiegato solo per lo sviluppo di siti web, ma è spesso integrato come componente in altri software e dispositivi.
I ricercatori di Flare hanno evidenziato la presenza di PHP in contesti inaspettati, come sistemi di storage, dispositivi di controllo accessi fisici, telecamere e interfacce di accesso remoto. In questi scenari, l'aggiornamento diretto di PHP non è possibile; è necessario attendere un firmware aggiornato dal produttore del dispositivo. Se il produttore ha interrotto il supporto per quel prodotto, l'organizzazione si trova di fatto senza una soluzione di patching disponibile.
Anche quando le istanze PHP sono state identificate e sono teoricamente aggiornabili, la situazione può complicarsi ulteriormente. Molte organizzazioni utilizzano ancora versioni obsolete di PHP, come PHP 5 o PHP 7, su cui si basano applicazioni critiche. La migrazione a versioni più recenti potrebbe richiedere la riscrittura di parti significative dell'applicazione, la sostituzione di dipendenze e un'ampia fase di test per evitare interruzioni operative. Questo processo, lungo e costoso, porta molte aziende a rimandare o addirittura a rinunciare all'aggiornamento, esponendosi a rischi significativi.
Nonostante le sfide, gli esperti suggeriscono alcune azioni immediate per mitigare il rischio:
La situazione sottolinea l'importanza di una gestione proattiva del ciclo di vita del software e di una strategia di patching robusta, soprattutto per componenti ampiamente diffusi come PHP, che possono rappresentare un vettore di attacco critico se non adeguatamente protetti.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
