I tentativi PHP2Shell aumentano mentre una RCE affidabile rimane sfuggente
I tentativi di exploit PHP2Shell hanno raggiunto milioni di richieste, ma diverse aziende di sicurezza affermano di non aver ancora osservato una remote code execution affidabile in circolazione. Le due vulnerabilità sottostanti, CVE-2026-109618 e CVE-2026-109619, hanno ciascuna un punteggio di gravità CVSS pari a 9,2 e possono consentire a un attaccante non autenticato di eseguire codice inviando richieste web appositamente predisposte. PHP le ha corrette nelle versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35.
Sophos ha esaminato tentativi non riusciti di sfruttare le vulnerabilità per installare Potassium, una variante ampliata della famiglia di malware Mirai. Il campione può scaricare software aggiuntivo e condurre attacchi distributed denial-of-service, comunemente chiamati attacchi DDoS, che sommergono un obiettivo di traffico. Decifra un indirizzo command-and-control incorporato, si connette a 134.199.154[.]64 e verifica che il payload scaricato sia un eseguibile Linux ELF. Il suo resolver degli indirizzi può utilizzare i servizi DNS pubblici agli indirizzi 8.8.8.8, 1.1.1.1 e 1.0.0.1 se gli altri metodi di risoluzione non funzionano.
Sophos ha ricondotto i tentativi a 85.11.167[.]243, 217.60.242[.]76 e 45.198.224[.]169. Questi sistemi hanno contattato 92.118.112[.]100 per ottenere un loader che distribuiva il campione della botnet. In un ambiente di test isolato, il malware ha interrogato thunder.godofthunder[.]st, ha raggiunto 134.199.154[.]64 e ha aperto un canale di controllo sulla porta TCP 50792. Il suo obiettivo configurato era generare flood di traffico prolungati contro 45.88.138[.]0 e 45.88.138[.]44, due host vicini sulla stessa rete ucraina. Sophos ha affermato che l'assenza di attacchi PHP2Shell riusciti indicava che gli attaccanti incontravano difficoltà nel produrre exploit affidabili.
Potassium è stato inizialmente identificato dalla piattaforma di monitoraggio delle botnet Synthient nel marzo 2026. Successivamente, Nokia Deepfield lo ha descritto come un fork di Mirai che utilizza la cifratura ChaCha20 per la configurazione memorizzata, il byte 0xED per le comunicazioni di rete e un protocollo reverse-shell denominato SHELL / SHOUT sullo stesso canale usato per le istruzioni di attacco. Prima di connettersi, scambia inoltre tra loro le due metà degli indirizzi IPv4 risolti. Arctic Wolf ha individuato 24 comandi che supportano flood tramite ICMP, TCP, UDP e OpenVPN. Le build ARM e x86 contenevano un'opzione inattiva per risolvere l'infrastruttura di controllo tramite Ethereum Name Service, o ENS. Arctic Wolf ha avvertito che la sua attivazione potrebbe rendere più complessa l'interruzione delle operazioni, aggiungendo i nomi ENS e l'infrastruttura associata ai sistemi che i difensori devono bloccare.
Una ricerca separata mostra come gli attaccanti stiano cercando di rendere PHP2Shell utilizzabile nella pratica. SOCRadar ha trovato strumenti di exploit per PHP 8.4.26 su un server esposto all'indirizzo 206.188.197[.]105:9999. Il programma Python centrale veniva presentato dal suo operatore come un exploit con un solo clic per Apache mod_php. Tenta di riciclare un worker process PHP, divulgare indirizzi di memoria tramite un session cookie e abusare della gestione del session upload progress di PHP per eseguire uno shell command. La divulgazione degli indirizzi mira ad aggirare Address Space Layout Randomization, o ASLR, una difesa che sposta programmi e componenti di sistema in posizioni di memoria imprevedibili.
Tre script allegati hanno profilato circa 20 siti web pubblici. Uno raccoglieva le versioni di PHP e le configurazioni dei server, un altro esaminava 11 siti alla ricerca di errori esposti, pagine phpinfo, file inclusion e session injection, mentre un terzo enumerava utenti e plugin su cinque siti WordPress. Al 22 ottobre 2026, SOCRadar non ha trovato prove che alcuno dei siti esaminati avesse consentito di ottenere accesso shell. Il più ampio set di strumenti estraeva inoltre API key e indirizzi backend dal JavaScript inviato ai browser, cercava nei siti web e nelle route delle application programming interface accessi senza autenticazione, alternava proxy per distribuire le richieste, esaminava archivi web e automatizzava la risoluzione dei CAPTCHA. SOCRadar ha valutato che l'operatore fosse mosso da motivazioni finanziarie e concentrato su obiettivi legati alle criptovalute e al Web3.
Hunt.io ha collegato lo stesso server di exploit ad attività dirette contro 123 sistemi distribuiti su reti cloud, shared hosting e di internet service provider. Circa 57 eseguivano PHP, compresi molti che utilizzavano branch non supportati da PHP 5.x a 7.x. Dieci sistemi hanno respinto le richieste, inclusi tre dei cinque protetti da Cloudflare, e Hunt.io ha constatato che nessuno era stato sfruttato. Ha inoltre identificato strumenti PHP2Shell distribuiti attraverso 10 open directory su più server.
La ricerca di VulnCheck dimostra tuttavia che la barriera allo sfruttamento può essere superata. Il suo team ha sviluppato una chain che combina entrambe le vulnerabilità, utilizzando una divulgazione della memoria per aggirare ASLR e ottenere remote code execution su sistemi x86-64 con la configurazione di visualizzazione degli errori raccomandata da PHP per gli ambienti di produzione. VulnCheck ha dichiarato di non aver identificato un altro exploit pubblico o commerciale funzionante nelle stesse condizioni. Uno sfruttamento riuscito eseguirebbe codice con i permessi dell'applicazione web, esponendo potenzialmente API key, connessioni ai database e servizi interni raggiungibili dall'applicazione. Per stabilire un punto d'appoggio utile, un attaccante non avrebbe bisogno di privilegi root o di amministratore.
L'attività su scala Internet è aumentata rapidamente dopo la divulgazione. Cloudflare ha registrato decine di migliaia di tentativi entro 45 minuti, centinaia di migliaia entro due ore e milioni entro le prime ore del 22 ottobre 2026. Cisco Talos ha descritto la maggior parte del traffico osservato come attività di scansione e distribuzione non coordinata di payload. Previdian ha registrato centinaia di tentativi contro CVE-2026-109618 provenienti da decine di indirizzi, con un'attività minore contro CVE-2026-109619; il suo primo evento relativo alla prima vulnerabilità si è verificato il 21 ottobre alle 13:05 UTC. Gli honeypots di Previdian non hanno mostrato alcuna esecuzione di codice riuscita né file PHP caricati. Analogamente, Beelzebub, Dataminr e Wordfence hanno segnalato attività di scansione, fingerprinting e tentativi di verificare l'esecuzione di comandi, raccogliere segreti dalle variabili di ambiente, stabilire persistence o scaricare un altro payload, anziché compromissioni confermate.
Alcuni siti web governativi, scolastici e ospedalieri in Asia, Europa e Nord America sono stati messi offline a scopo precauzionale mentre venivano applicati aggiornamenti e mitigazioni. Il governo del Regno Unito ha confermato l'indisponibilità di 32 servizi digitali e l'indisponibilità parziale di altri quattro, in gran parte a causa di arresti precauzionali, mentre il National Cyber Security Centre ha emesso circa 50.000 avvisi. Queste interruzioni erano misure di protezione e non dimostrano che i servizi interessati siano stati sfruttati con successo.
Sysdig ha osservato che il codice vulnerabile dell'engine risale a PHP 5.4 del 2012. Poiché il problema si trova in PHP stesso anziché nel codice applicativo di WordPress, Drupal o Joomla, un sito può rimanere esposto anche quando il suo CMS e le relative estensioni non presentano altri problemi. VirusTotal ha stimato che circa 272.000 host eseguano un branch PHP supportato dalla versione 8.2 alla 8.5. I siti che usano PHP 7.4, 8.0 o 8.1 dovrebbero passare a un branch supportato oppure ottenere un backport fornito dalla distribuzione. Censys ha rilevato oltre 3,08 milioni di host e 56,6 milioni di proprietà web che utilizzano PHP, con oltre 34,4 milioni di servizi PHP valutati come vulnerabili il 23 ottobre 2026.