PHP2Shell: allerta NSA, aggiornamenti urgenti siti web
Due vulnerabilità critiche di PHP possono consentire l’esecuzione di codice sui server senza autenticazione. Le correzioni sono disponibili: enti pubblici e imprese devono verificare i propri sistemi e coordinarsi con i fornitori.
Il 21 ottobre 2026 la National Security Agency statunitense ha pubblicato un avviso sulle vulnerabilità note come PHP2Shell, invitando le organizzazioni a censire i servizi che utilizzano PHP e a dare priorità agli aggiornamenti di sicurezza. Le falle sono identificate come CVE-2026-109618 e CVE-2026-109619.
Che cosa rischiano i siti web
PHP è il linguaggio, con il relativo ambiente di esecuzione sul server, utilizzato per far funzionare molti siti e applicazioni web. Queste vulnerabilità riguardano la gestione interna della memoria: non presuppongono necessariamente un errore nel codice del sito.
In determinate condizioni, richieste appositamente costruite possono permettere a un aggressore di eseguire codice da remoto senza autenticarsi. Le conseguenze potenziali, secondo i privilegi del processo compromesso, includono accesso ai dati, alterazione dei contenuti e interruzione dei servizi. Il bollettino tecnico descrive, tra i problemi, il riutilizzo di stato interno dopo la liberazione della memoria associata.
Per un ente pubblico, un disservizio può impedire l’accesso a informazioni e procedure online; per un’impresa può bloccare richieste, ordini o attività operative. Un sito che continua a funzionare normalmente non offre, da solo, una conferma della propria sicurezza.
Quali installazioni devono essere controllate
Il progetto PHP invita a intervenire sulle installazioni che gestiscono richieste web, comprese PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed. Il rischio è indicato come più elevato per mod_php, per il quale è stato dimostrato un attacco attivabile prima dell’esecuzione del codice applicativo.
La verifica deve includere anche prodotti e dispositivi che incorporano PHP: pannelli di gestione, componenti distribuiti da fornitori e altri servizi possono richiedere aggiornamenti specifici. Il NCSC dei Paesi Bassi raccomanda di controllare separatamente questi ambienti e i relativi pacchetti.
Tentativi rilevati già prima dell’avviso pubblico
Amazon Threat Intelligence riferisce di avere rilevato nei propri sistemi-esca MadPot un tentativo riconducibile a PHP2Shell il 17 ottobre, quattro giorni prima della divulgazione pubblica. Ulteriori tentativi sono stati osservati il 21 ottobre, anche dopo il rilascio delle correzioni.
AWS precisa che l’analisi dei primi tentativi era ancora in corso e che non era chiaro se avrebbero avuto successo su sistemi reali. Raccomanda comunque di iniziare le verifiche almeno dal 17 ottobre, cercando attività anomale nei log, esecuzioni inattese di processi e modifiche sospette ai file.
Le versioni corrette sono già disponibili
Le release pubblicate dal progetto PHP il 21 ottobre sono:
| Ramo PHP | Versione corretta |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
Sono possibili anche pacchetti corretti forniti dalle distribuzioni o dai vendor, con correzioni riportate su versioni precedenti. Occorre verificarne la copertura nei rispettivi bollettini. Le mitigazioni temporanee possono ridurre l’esposizione, ma non sostituiscono l’aggiornamento.
Cosa chiedere al proprio fornitore
Per chi gestisce un sito senza amministrare direttamente il server, il primo passo è richiedere una verifica al responsabile dell’hosting o dell’infrastruttura:
- quali servizi e ambienti utilizzano PHP;
- quale versione o pacchetto corretto è effettivamente in uso;
- quando saranno completati gli interventi e verificato il funzionamento dei servizi;
- quali controlli sulle attività sospette sono stati eseguiti.
Aggiornare soltanto il CMS o i suoi plugin non equivale ad aggiornare l’ambiente PHP sottostante. È necessario che sviluppo, hosting e manutenzione si coordinino, indicando un responsabile e un esito verificabile per ciascun intervento.
La sicurezza richiede una gestione continua
PHP2Shell richiama l’importanza di conoscere i componenti da cui dipendono i servizi digitali e di organizzare una risposta rapida quando emerge una vulnerabilità critica.
ACTAINFO propone servizi di Cyber Threat Intelligence, supporto alla cybersicurezza e competenze sistemistiche per la sicurezza dei servizi cloud. Queste attività si inseriscono in un percorso di prevenzione e gestione del rischio che deve accompagnare l’intero ciclo di vita dei servizi digitali.
Scopri i servizi di cybersicurezza ACTAINFO e contattaci per valutare le esigenze di protezione della tua organizzazione.
Fonti
NSA, avviso del 21 ottobre 2026:
https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/4630238/nsa-advisory-critical-patches-recommended-for-php-vulnerabilities/
PHP, bollettino di sicurezza e release del 21 ottobre 2026:
https://www.php.net/archive/2026.php#2026-10-21-5
PHP, advisory tecnico CVE-2026-109619:
https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp
NCSC-NL, informazioni operative su PHP2Shell:
https://github.com/NCSC-NL/php2shell
AWS Security Blog, analisi del 21 ottobre 2026:
https://aws.amazon.com/blogs/security/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot/
ACTAINFO, servizi di cybersicurezza:
https://www.actainfo.it/cybersecurity/
Vuoi saperne di più?
Per ulteriori informazioni contatta il team di Actainfo al seguente link: https://www.actainfo.it/contatti
Elaborato da intelligenza artificiale ActyAI
https://www.actyai.it/
supervisionato da Redazione Actainfo
