Le vulnerabilità PHP sotto attacco attivo richiedono aggiornamenti
Le vulnerabilità PHP che consentono la remote code execution senza autenticazione, permettendo agli aggressori di eseguire codice senza prima effettuare l'accesso, sono ora oggetto di sfruttamento attivo. La Cybersecurity and Infrastructure Security Agency (CISA) statunitense ha aggiunto entrambe le vulnerabilità PHP2Shell al proprio catalogo Known Exploited Vulnerabilities (KEV), un elenco di vulnerabilità di sicurezza il cui utilizzo negli attacchi è stato confermato.
Le vulnerabilità sono CVE-2026-109618 e CVE-2026-109619 ed entrambe hanno un punteggio di 9,2 secondo il Common Vulnerability Scoring System (CVSS), che valuta la gravità tecnica delle vulnerabilità di sicurezza. CVE-2026-109618 riguarda una out-of-memory corruption, in cui una gestione errata dell'esaurimento della memoria può danneggiare i dati interni del programma. CVE-2026-109619 riguarda uno stale internal request state, ossia informazioni rimaste da una richiesta precedente che possono influire impropriamente sull'elaborazione successiva. Entrambe le condizioni possono portare alla remote code execution senza autenticazione nei deployment interessati.
Le prove di uno sfruttamento pratico sono arrivate dagli honeypots, sistemi esca deliberatamente esposti e utilizzati per osservare gli attacchi. Il responsabile del rilevamento e della risposta di Perplexity ha confermato il successo della remote code execution contro sistemi honeypot il 24 ottobre 2026. La risposta osservata conteneva un decoded cookie dump da 800 KiB, un blocco di dati esposti provenienti dalla memoria del processo. Un function address calcolato a partire da quel dump, utilizzando le posizioni pubblicate insieme all'exploit pubblico, è quindi comparso nel successivo execution payload.
L'analisi di Perplexity ha inoltre posto un limite importante a tale risultato. La catena dimostrata utilizzava una configurazione mod_php single-worker intenzionalmente favorevole, nella quale PHP viene eseguito come parte del processo del web server Apache. Il test non ha misurato con quale affidabilità l'exploit funzioni con un numero diverso di worker, altre build PHP o altre applicazioni. Lo sfruttamento attivo è confermato, ma il risultato ottenuto con l'honeypot non deve essere considerato una prova che ogni configurazione interessata possa essere compromessa con la stessa costanza.
PHP ha corretto le due vulnerabilità PHP2Shell nelle versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35, pubblicate il 21 ottobre 2026. CISA ha concesso alle agenzie federali statunitensi tempo fino al 29 ottobre 2026 per applicare le correzioni richieste. I proprietari di siti web e i team di hosting devono verificare il runtime PHP utilizzato da ogni sito pubblico, anziché affidarsi soltanto alla versione selezionata in un pannello di controllo o a quella prevista da un'applicazione.
L'esposizione è potenzialmente ampia perché PHP, abbreviazione di PHP: Hypertext Preprocessor, è un server-side scripting language utilizzato da circa il 70% dei siti web. Censys stima che oltre 32,51 milioni di servizi PHP utilizzino ancora una versione interessata. Questa cifra descrive i servizi visibili, non le compromissioni confermate, ma mostra quanti deployment potrebbero ancora richiedere verifiche e aggiornamenti.
La gravità ha portato alla pubblicazione di advisory da parte di ABB, Arista Networks, Belden, Broadcom, Canon, Citrix, Craft CMS, Dell, Dormakaba, Drupal, ExpressionEngine, F5, Hikvision, HP, HPE, Hitachi Energy, HMS Networks, Huawei, IBM, Ivanti, Johnson Controls, Mitel, Moxa, NETGEAR, October CMS, Okta, QNAP, Rockwell Automation, Ruckus Wireless, Salesforce, Schneider Electric, Siemens, SonicWall, Splunk, Synology, Veeam, Wibu-Systems e WordPress. Questi avvisi riflettono la varietà di prodotti ed ecosistemi software che possono integrare PHP o interagire con esso. Gli amministratori devono consultare l'advisory relativo alla piattaforma specifica che gestiscono e non devono presumere che il solo aggiornamento di un content management system aggiorni anche il runtime PHP sottostante.
Un problema separato interessa anche le build PHP per Windows. Il 26 ottobre 2026, la PHP Foundation ha pubblicato le build 8.5.12-1, 8.4.27-1, 8.3.36-1 e 8.2.35-1 per correggere CVE-2026-111497. Si tratta di una out-of-bounds write nella libreria Brotli decoder, un componente che decomprime i contenuti web. La vulnerabilità può portare alla privilege escalation, con cui il codice ottiene un livello di accesso superiore a quello previsto, nonché alla remote code execution senza autenticazione.
CVE-2026-111497 è nota anche come Broccoli2Shell, HTTP2Shell e Node2Shell. Interessa le versioni di Brotli dalla 1.0.3 alla 1.0.9, oltre alle versioni 1.1.0 e 1.2.0. Le release corrette sono 1.0.10, 1.1.1 e 1.2.1. Le correzioni sono state integrate anche nei progetti che includono la C library interessata, un componente software riutilizzabile scritto per native applications, tra cui Node.js, Bun, Envoy Proxy, Istio, .NET e Python.
Secondo la PHP Foundation, il decoder vulnerabile nelle build PHP per Windows può essere raggiunto attraverso la cURL extension, utilizzata dalle applicazioni per effettuare richieste web, quando è abilitata la decompressione automatica delle risposte HTTP. Questo comportamento è disabilitato per impostazione predefinita in cURL, sebbene le applicazioni e le HTTP client libraries possano abilitarlo. Gli amministratori Windows devono quindi installare la build PHP corretta anche se non hanno installato consapevolmente Brotli come componente separato.
Per i proprietari di siti WordPress che stanno valutando a chi spetti la responsabilità dell'ambiente di hosting, AEU Hosting offre un hosting WordPress gestito e protetto end to end. Indipendentemente dalla piattaforma, la priorità immediata è individuare le installazioni PHP interessate, aggiornarle a una release corretta e confermare che ogni sito pubblico utilizzi effettivamente il runtime aggiornato.