PHP2Shell è allarme PHP! Due falle critiche aprono la strada agli hacker nei server web di tutto il mondo

Due vulnerabilità critiche in PHP, identificate come CVE-2026-109618 e CVE-2026-109619, hanno portato al rilascio di patch d'emergenza il 21 ottobre 2026. Le falle consentirebbero l'esecuzione di codice da remoto senza autenticazione. L'exploit PHP2Shell aumenta l'urgenza di aggiornare i server esposti e verificare le versioni installate.

Il 20 ottobre 2026, il team di sicurezza di PHP ha pubblicato un avviso preliminare relativo a un rilascio di emergenza imminente, volto a risolvere due vulnerabilità critiche (entrambe con un punteggio CVSS di 9.2). Le patch sono state rilasciate mercoledì 21 ottobre 2026. Il rilascio è stato accelerato dopo che informazioni sulle vulnerabilità sono trapelate pubblicamente. In un post su Hacker News, un utente ha segnalato due falle di esecuzione di codice remoto (RCE) in PHP, che presumibilmente interessavano tutte le versioni a partire dalla 5.4.0.

Le vulnerabilità in questione sono CVE-2026-109618 e CVE-2026-109619. Al momento della pubblicazione, erano riservate ma non divulgate. Poco dopo la comparsa dell’articolo, i ricercprendilo hanno confermato l’esistenza delle vulnerabilità. Insieme ai dettagli trapelati, è apparso online un exploit ufficiosamente soprannominato PHP2Shell. Un video dimostrativo trapelato mostra l’exploit in azione su server web che utilizzano WordPress, MediaWiki, phpBB, Magento, Joomla, Laravel, Symfony, Drupal e WHMCS, che alimentano molti siti web moderni. L’autenticità della demo e il comportamento esatto dell’exploit non sono stati confermati in modo indipendente al momento della pubblicazione.

Secondo il ricercatore che ha pubblicato il PoC, le vulnerabilità sono legate alla gestione del tipo multipart/form-data insieme al meccanismo di caricamento dell’avanzamento della sessione. Le vulnerabilità si trovano nel core di PHP e rientrano nelle categorie Use-After-Free e corruzione della memoria. Ciò significa che le falle non possono essere corrette tramite codice applicativo: la soluzione è possibile solo aggiornando PHP sul server. L’attacco funziona senza autenticazione: un utente malintenzionato con accesso di rete a un’applicazione PHP può eseguire codice arbitrario per conto del processo PHP senza richiedere autorizzazione. Gli avvisi di sicurezza pubblicati da PHP il 21 ottobre confermano queste informazioni.

Le vulnerabilità interessano le versioni 5, 6, 7 e 8 di PHP. Al momento della pubblicazione, sono supportate le versioni dalla 8.2 alla 8.5. Le versioni precedenti, tra cui PHP 8.1, 8.0, 7.x e 5.x, hanno raggiunto la fine del ciclo di vita. Tuttavia, data l’elevata gravità delle vulnerabilità, sono state rilasciate patch di backport anche per le versioni 7.4, 8.0 e 8.1.

Gli esperti di Sansec prevedono che lo sfruttamento su larga scala potrebbe iniziare entro 15 minuti dal rilascio dell’aggiornamento.

Raccomandiamo vivamente agli amministratori responsabili dei server web PHP accessibili pubblicamente di adottare le seguenti misure prima del rilascio della patch:

• Eseguire un inventario di tutti i sistemi che utilizzano PHP nell’infrastruttura (inclusi server web, pannelli di controllo, software di terze parti, ecc.).
• Disabilitare l’avanzamento del caricamento:session.upload_progress.enabled = Offcon l’aiuto diflag_amministratore_phpnei pool PHP-FPM.
• Bloccare le richieste multipart sui server nginx e Apache.
• Si consiglia di isolare temporaneamente le applicazioni PHP esposte a Internet fino al rilascio delle correzioni.
• Assicurarsi che la patch sia pronta per l’installazione immediata non appena viene pubblicata.
• Pianificare la migrazione al ramo PHP corrente per i server con versioni non supportate (8.1 e precedenti).

Luigi Zullo

Ricercatore di sicurezza informatica con esperienza nell’analisi delle vulnerabilità, nella mitigazione del rischio cyber, nelle attività di red teaming ed ethical hacking e nella protezione di sistemi complessi. Specializzato in penetration testing e Threat Intelligence, contribuisce al rafforzamento della resilienza digitale di infrastrutture e reti aziendali.

Aree di competenza: Penetration Testing, Threat Intelligence, Red Teaming, Vulnerability Assessment, Incident Response