PHP2Shell: Due criticità critiche di PHP provocano lo spegnimento globale dei siti

PHP, il linguaggio di scripting che alimenta una gran parte del codice lato server del web, è stato colpito da due criticità di sicurezza critiche divulgate nell'ottobre 2026. I bug, collettivamente soprannominati "PHP2Shell" e tracciati come CVE-2026-109618 e CVE-2026-109619, consentono a un aggressore senza account o password di eseguire codice arbitrario su un server web interessato.

Cosa fanno le vulnerabilità

Secondo la società di sicurezza watchTowr, CVE-2026-109618 si verifica quando PHP esaurisce la memoria a metà della configurazione di una richiesta in arrivo, lasciando i dati della richiesta interna solo parzialmente inizializzati; la routine di pulizia di PHP tratta quindi erroneamente quei dati non validi come validi. CVE-2026-109619 comporta uno stato interno legato a una richiesta che sopravvive dopo che la memoria a cui punta è già stata liberata, in modo che una richiesta successiva gestita dallo stesso processo worker possa utilizzare quello stato obsoleto prima che l'inizializzazione normale lo ripristini.

La società di ricerca Wiz, che ha esaminato i difetti, ha riferito a Help Net Security che i problemi erano passati inosservati per anni e si collocano tra i più gravi mai trovati nel linguaggio. Oltre all'esecuzione completa di codice remoto, watchTowr ha affermato che i bug possono anche bloccare i processi worker di PHP, consentire letture arbitrarie di file o perdite di memoria del server.

Chi l'ha trovato e quando

I due difetti sono stati segnalati attraverso sforzi di ricerca separati. L'avviso di watchTowr accredita il team di ricerca sulla sicurezza di Calif per la scoperta, mentre la copertura di Help Net Security attribuisce l'identificazione e la divulgazione ai ricercatori di Wiz. La cronologia della divulgazione era insolita: i dettagli destinati a rimanere sotto embargo sono trapelati pubblicamente il 20 ottobre 2026, e watchTowr ha confermato che le informazioni trapelate erano genuine. I manutentori di PHP hanno risposto rilasciando patch un giorno prima della data originariamente pianificata di 22 ottobre, alle 14:00 UTC il 21 ottobre 2026.

Ambito: chi utilizza PHP vulnerabile

PHP rimane uno dei linguaggi lato server più utilizzati sul web, e i difetti possono influenzare qualsiasi configurazione che elabora le richieste HTTP in arrivo attraverso di esso. Le configurazioni interessate includono PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed, secondo watchTowr, il che significa che il bug si trova nello stesso strato del server piuttosto che in una sola applicazione.

Poiché PHP 7.4, 8.0 e 8.1 non sono più ufficialmente supportati, secondo watchTowr non c'è alcuna patch dal progetto del nucleo di PHP per i siti ancora in esecuzione su quei rami, anche se i backport dei fornitori di distribuzioni Linux o di supporto a lungo termine possono essere disponibili come opzione provvisoria; diversamente quelle installazioni devono passare a un ramo supportato. PHP 7.3 e versioni precedenti non hanno alcuna correzione, secondo watchTowr. L'avviso di PHP afferma che nessuna modifica della configurazione chiude completamente le vulnerabilità a meno che il software non sia aggiornato.

Impatto e sfruttamento

Help Net Security ha riferito che una rete honeypot gestita da Amazon ha rilevato tentativi di sfruttamento il 17 ottobre 2026 – quattro giorni prima della patch pubblica – suggerendo che alcuni aggressori avevano accesso anticipato ai dettagli dell'exploit. WatchTowr ha affermato che la sua stessa rete honeypot "Attacker Eye" ha osservato lo sfruttamento attivo in natura continuare dopo il rilascio della patch del 21 ottobre.

I sistemi di gestione dei contenuti basati su PHP, inclusi WordPress, Drupal e Joomla, insieme ad applicazioni basate su Laravel e piattaforme di e-commerce, si trovano tutti nell'impronta interessata perché funzionano su un motore PHP vulnerabile.

Mentre l'applicazione di patch era in corso, agenzie governative, forum online, piattaforme di gioco e alcuni siti collegati all'infrastruttura sono stati portati offline come precauzione mentre gli operatori applicavano le correzioni, secondo la copertura riepilogata nella voce di Wikipedia di PHP2Shell. Il Centro nazionale di sicurezza informatica del Regno Unito ha esortato le organizzazioni che non potevano applicare patch immediatamente a portare invece offline i sistemi vulnerabili, ha riferito Help Net Security.

Valutazione della gravità e cosa dovrebbero fare gli operatori dei siti

Gli sviluppatori stessi di PHP hanno valutato entrambi i difetti 9,2 su 10 sulla scala CVSS v4.0, un punteggio "critico", secondo l'avviso di watchTowr. Il chiaro percorso di bonifica, secondo l'avviso di PHP e watchTowr, è l'aggiornamento a PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35 a seconda di quale ramo utilizza un server; i siti su 7.4, 8.0 o 8.1 dovrebbero utilizzare un backport di distribuzione o passare a un ramo supportato, mentre i server su 7.3 o versioni precedenti non hanno correzioni disponibili e devono essere aggiornati.