Questo è PHP2Shell, il bug che minaccia sette siti su dieci.

Due vulnerabilità critiche nel linguaggio di programmazione PHP, collettivamente soprannominati PHP2Shell, minacciano circa il 70% di tutti i siti web il cui linguaggio di scripting lato server è noto. Il progetto PHP ha rilasciato le versioni fisse mercoledì, accompagnate da un insolito avviso che afferma che nessun aggiustamento di configurazione offre una protezione completa. Gli utenti devono aggiornare le versioni più recenti del linguaggio per proteggere i loro sistemi, un compito che molte organizzazioni possono lottare per eseguire rapidamente. Questi difetti consentono agli aggressori di inviare richieste a un server web ed eseguire codice arbitrario direttamente sulla macchina host senza richiedere credenziali o password utente valide.

Questa capacità garantisce effettivamente l'accesso remoto alla shell, consentendo il compromesso totale dell'infrastruttura interessata. Le vulnerabilità riguardano la gestione della memoria di base e i meccanismi di gestione degli errori di PHP. Il primo difetto, identificato come CVE-2026-109618, si verifica quando l'interprete raggiunge il limite di memoria configurato durante l'elaborazione della richiesta. Quando questo limite viene raggiunto, PHP interrompe bruscamente l'esecuzione. Se questa interruzione si verifica mentre le strutture di dati interne sono in costruzione, esse rimangono parzialmente costruite. Durante la successiva fase di pulizia, il sistema tratta queste strutture incomplete come completamente formate.

Gli aggressori possono innescare questa condizione utilizzando richieste con dimensioni non dichiarate o altri metodi che saturano il processo e corrompono la memoria, portando all'esecuzione di codice dannoso. La seconda vulnerabilità, CVE-2026-109619, sfrutta il fatto che PHP spesso riutilizza lo stesso processo per richieste successive. Se un errore interrompe una richiesta in un momento specifico, i dati residui, come le informazioni di sessione o gli stati di errore, possono indicare una memoria già liberata. La richiesta in entrata successiva utilizza questi puntatori obsoleti prima che vengano cancellati correttamente. Con un'attenta manipolazione della memoria, un aggressore può sfruttare questo stato per eseguire comandi non autorizzati.

2 su 10, che indica un rischio grave. Sebbene lo sfruttamento non sia banale e possa richiedere migliaia di tentativi per avere successo, l'impatto potenziale consente il pieno controllo del server, il furto di dati e la danneggiamento del sito web. Tre squadre indipendenti hanno scoperto i bug tra la fine di luglio e agosto 2026. I difetti esistevano nel codice PHP da più di un decennio. Tutti e tre i gruppi hanno utilizzato strumenti di intelligenza artificiale nel loro processo di scoperta. Wiz, di proprietà di Google, ha combinato quel modello con Gemini 4 Argon e uno strumento proprietario. Secondo Wiz, l'uso dell'IA ha permesso a un singolo ricercatore di realizzare in una settimana ciò che in precedenza avrebbe richiesto mesi per un team specializzato.

Le scoperte sono state tenute riservate mentre il team PHP sviluppava le patch. Tuttavia, un messaggio pubblicato sul forum Hacker News martedì ha rivelato l'esistenza dei difetti, costringendo il progetto PHP ad anticipare la pubblicazione delle correzioni di un giorno. Gli esperti di sicurezza hanno avvertito che la situazione è urgente perché l'intelligenza artificiale riduce significativamente il tempo tra la scoperta di una vulnerabilità e il dispiegamento di un attacco. Cloudflare ha riferito di aver rilevato tentativi iniziali di sfruttare le debolezze anche prima che fossero disponibili le patch ufficiali.

Dane Knecht, Chief Technology Officer di Cloudflare, ha dichiarato che la società stava osservando gli attacchi emergenti e aggiornando le strategie di mitigazione man mano che apparivano nuovi vettori di attacco. È comune per molte applicazioni, in particolare per i software aziendali, eseguire versioni più vecchie e non supportate. Le agenzie governative e le principali istituzioni hanno risposto rapidamente alla minaccia. L'Ufficio federale tedesco per la sicurezza delle informazioni ha emesso un avvertimento ufficiale sulla sicurezza informatica, classificando il livello di rischio come eccezionalmente elevato.

L'agenzia ha consigliato agli operatori di disconnettere temporaneamente i server da Internet se non fosse possibile eseguire immediatamente le patch. Avvertimenti simili sono stati emessi dalle autorità in Australia, Giappone e in diversi paesi europei. Alcuni siti web governativi sono stati messi offline per prevenire potenziali violazioni. Ad esempio, il sito web della Prefettura di polizia di Parigi in Francia è stato disabilitato dopo il rilevamento della vulnerabilità critica. L'Università di Barcellona ha chiuso le sue connessioni Internet come misura precauzionale. La Wikimedia Foundation, che gestisce Wikipedia, ha dichiarato di aver eliminato diversi sistemi fino a quando non potrebbero essere aggiustati in modo sicuro.

La diffusa dipendenza da PHP rende la portata del problema vasta. I principali sistemi di gestione dei contenuti, tra cui WordPress, Drupal, Joomla, Moodle e TYPO3, dipendono dalla lingua. Gli esperti stimano che tra i 400 e i 500 milioni di siti web operano solo su WordPress. Altre piattaforme popolari come Magento utilizzano anche PHP. La Fondazione PHP ha esortato tutti gli utenti ad aggiornare immediatamente, sottolineando che l'esecuzione della versione corrente è imperativa. La pubblicazione evidenzia il ruolo crescente degli strumenti automatizzati sia nella ricerca che nello sfruttamento di difetti software complessi. Mentre le organizzazioni si affrettano ad applicare gli aggiornamenti, la finestra di esposizione rimane aperta per coloro che non sono in grado di agire immediatamente.

L'incidente serve come caso di prova per la rapidità con cui le minacce moderne possono propagarsi attraverso le tecnologie web fondamentali.