PHP2Shell è ora sfruttato in attacchi reali: ora inizia la vera caccia!

I ricercatori Adeel Karimi di Perplexity e Marcus Hutchins di Expel hanno confermato lo sfruttamento riuscito di due vulnerabilità critiche in PHP, denominate PHP2Shell (CVE-2026-109618 e CVE-2026-109619). Gli attacchi hanno permesso di eseguire comandi remoti su server vulnerabili, ottenendo dati dalla memoria del processo e preparando la fase successiva dell'attacco in circa 1,6 ms. Le vulnerabilità sono state corrette dal team di sviluppo di PHP.

I ricercatori hanno confermato lo sfruttamento riuscito di due vulnerabilità critiche PHP2Shell, che permettono di eseguire comandi remoti sui server vulnerabili senza autorizzazione preliminare. In precedenza, gli esperti avevano registrato tentativi di attacco, ma non erano riusciti a confermare che i malintenzionati fossero riusciti a far eseguire codice dannoso.

La conferma è arrivata da Adeel Karimi, responsabile del settore di rilevamento delle minacce e risposta agli incidenti in Perplexity. Le sue honeypot hanno registrato un attacco riuscito su un sistema con Apache mod_php e PHP 8.4.26. Durante l’attacco, il malintenzionato ha ottenuto circa 800 KiB (kibibyte) di dati dalla memoria del processo, per poi utilizzare l’indirizzo della funzione estratto per preparare la fase successiva dell’attacco.

Dopo l’invio dell’ultimo byte della richiesta corrispondente, il server ha eseguito il comando della shell in circa 1,6 ms. I risultati sono stati confermati anche dal ricercatore della società Expel Marcus Hutchins, che monitorava i messaggi relativi allo sfruttamento riuscito di PHP2Shell.

Le vulnerabilità CVE-2026-109618 e CVE-2026-109619, riunite sotto il nome PHP2Shell, sono state corrette dal team di sviluppo di PHP il 21 ottobre. Prima della pubblicazione degli aggiornamenti, le informazioni sulle vulnerabilità e alcuni exploit dimostrativi sono apparsi in pubblico, ma gli sviluppatori affermavano che le varianti pubblicate non funzionavano.

Le aziende Cloudflare, Hadrian, watchTowr, Previdian e Patchstack hanno segnalato anche tentativi di attacco che, in quel momento, non portavano a uno sfruttamento riuscito. Gli esperti di Amazon Threat Intelligence hanno rilevato i primi tentativi di attacco già il 17 ottobre, quattro giorni prima della pubblicazione delle correzioni.

PHP è utilizzato in circa il 70% dei siti web su Internet. Secondo le stime di VirusTotal, sono presenti in pubblico più di 5,1 milioni di host con PHP, di cui circa 3,8 milioni hanno almeno una porta accessibile per potenziali attacchi. Pertanto, al momento, lo sfruttamento riuscito di PHP2Shell rappresenta una minaccia per un numero significativo di server che utilizzano questa tecnologia.

Luigi Zullo

Ricercatore di sicurezza informatica con esperienza nell’analisi delle vulnerabilità, nella mitigazione del rischio cyber, nelle attività di red teaming ed ethical hacking e nella protezione di sistemi complessi. Specializzato in penetration testing e Threat Intelligence, contribuisce al rafforzamento della resilienza digitale di infrastrutture e reti aziendali.

Aree di competenza: Penetration Testing, Threat Intelligence, Red Teaming, Vulnerability Assessment, Incident Response