Mentre il CISA avverte su PHP2Shell, una nuova RCE in PHP senza patch è in circolazione

Il CISA ordina alle agenzie federali di risolvere le criticità PHP2Shell (CVE-2026-109618 e CVE-2026-109619) attivamente sfruttate da hacker per attacchi RCE in Europa e USA. Emerge intanto la nuova vulnerabilità CVE-2026-115560 priva di patch, che ad oggi p ancora senza patch di sicurezza.

L’Agenzia statunitense per la sicurezza informatica e delle infrastrutture CISA ha ordinato alle agenzie federali di risolvere le vulnerabilità del servizio PHP entro il 29 ottobre.

La scorsa settimana, il CISA aveva emesso un avviso in merito alle vulnerabilità ma all’epoca non si erano trovati ancora casi di sfruttamento reale dei due bug di sicurezza. Ora, la CISA ha dichiarato che gli hacker hanno effettivamente sfruttato queste vulnerabilità.

I siti web precedentemente utilizzati dai governi di Regno Unito, Danimarca, Finlandia e Paesi Bassi sono stati disattvivere ​​a seguito della scoperta di problemi nel servizio PHP. Secondo i funzionari europei per la sicurezza informatica del CERT-EU, le vulnerabilità potrebbero consentire agli aggressori di eseguire codice da remoto sul computer della vittima. Qualora non fosse possibile aggiornare immediatamente il software, si consiglia agli utenti europei di disconnettere da Internet le risorse che dipendono da PHP.

Mentre gli amministratori di tutto il mondo si si stanno occupando delle vulnerabilità PHP2Shell e dei tentativi di sfruttamento di massa di questi bug, alla fine della scorsa settimana gli sviluppatori di PHP hanno avvertito di un’altra vulnerabilità RCE. Il nuovo problema ha ricevuto l’identificatore CVE-2026-115560 e al momento non è disponibile una patch.

Il messaggio sul nuovo bug è apparso solo due giorni dopo il rilascio delle patch di emergenza per due vulnerabilità critiche di PHP2Shell — CVE-2026-109618 e CVE-2026-109619. A differenza di queste, la CVE-2026-115560 colpisce solo i sistemi con una combinazione piuttosto rara di impostazioni e un comportamento specifico dell’applicazione, quindi gli sviluppatori non hanno preparato un altro aggiornamento urgente.

Gli esperti spiegano che per sfruttare il nuovo bug l’applicazione deve utilizzare php_binary o php_serialize come session.serialize_handler, e poi durante l’esecuzione cambiare questo parametro in php tramite ini_set() — e ciò prima della chiamata a session_start(). Inoltre, deve rimanere attiva la funzione di tracciamento dello stato di caricamento dei file (session upload progress), che è attiva per impostazione predefinita.

Secondo la valutazione degli sviluppatori di PHP, una configurazione del genere è estremamente rara nelle applicazioni reali, e se l’applicazione non modifica il serialize handler durante l’esecuzione, la CVE-2026-115560 non rappresenta una minaccia per essa.

Poiché al momento non è disponibile una patch, si consiglia di disabilitare temporaneamente session upload progress, impostando il valore session.upload_progress.enabled=0. Questa misura è già stata inclusa tra le raccomandazioni per la protezione da CVE-2026-109619, quindi agli amministratori che hanno disabilitato questa funzione a causa di PHP2Shell e non l’hanno riattivata non sarà necessario fare altro.

Un bollettino completo sulla sicurezza dedicato alla CVE-2026-115560, gli sviluppatori prevedono di pubblicarlo in seguito insieme all’aggiornamento pianificato di PHP. Al momento non è chiaro quali versioni sono colpite dalla vulnerabilità, quale valutazione riceverà e in quali rilasci sarà disponibile la patch. Inoltre, non è ancora chiaro se questo bug sia correlato alla CVE-2026-109619.

Luigi Zullo

Ricercatore di sicurezza informatica con esperienza nell’analisi delle vulnerabilità, nella mitigazione del rischio cyber, nelle attività di red teaming ed ethical hacking e nella protezione di sistemi complessi. Specializzato in penetration testing e Threat Intelligence, contribuisce al rafforzamento della resilienza digitale di infrastrutture e reti aziendali.

Aree di competenza: Penetration Testing, Threat Intelligence, Red Teaming, Vulnerability Assessment, Incident Response