Due vulnerabilità critiche nel linguaggio PHP, identificate come CVE-2026-109618 e CVE-2026-109619 e note collettivamente con il nome “PHP2Shell”, consentono l’esecuzione remota di codice senza autenticazione sulle installazioni esposte. L’agenzia statunitense per la sicurezza informatica, la CISA, ha diramato un avviso urgente che invita le organizzazioni ad applicare subito le correzioni disponibili. Poiché PHP alimenta una quota enorme del web, il messaggio vale per chiunque gestisca siti, portali o applicazioni costruite su questo linguaggio, dai piccoli portali alle infrastrutture più complesse.
Una minaccia trasversale per l’ecosistema web
Le due falle permettono a un aggressore di eseguire codice arbitrario su un server PHP non aggiornato, senza disporre di credenziali valide. Un sistema compromesso può essere utilizzato per sottrarre dati, installare malware oppure come trampolino per colpire altre reti aziendali. Data la capillarità con cui PHP è impiegato, la superficie potenzialmente interessata è molto ampia e coinvolge sia i piccoli siti sia le piattaforme di organizzazioni più strutturate, che spesso eseguono decine di applicazioni basate su questo linguaggio.
La CISA ricorda inoltre un aspetto spesso trascurato: PHP è frequentemente incorporato come componente all’interno di software di terze parti, quindi la sua presenza può sfuggire anche agli amministratori più attenti. Per questo il primo passo raccomandato è un censimento accurato di tutti i sistemi che eseguono il linguaggio, anche quando non è direttamente visibile all’utente finale, così da evitare che qualche installazione rimanga fuori dal perimetro degli aggiornamenti.
Le versioni da installare
Per chiudere la vulnerabilità è necessario aggiornare a una delle release corrette, vale a dire PHP 8.5.12, 8.4.27, 8.3.36 oppure 8.2.35. Chi non può procedere immediatamente, oppure utilizza ancora la versione 8.1 e quelle precedenti ormai fuori supporto, dovrebbe portare i sistemi interessati offline fino al completamento dell’aggiornamento. Un web application firewall può offrire una protezione temporanea durante la fase di transizione, ma non sostituisce l’installazione della patch definitiva.
Le raccomandazioni operative della CISA
Al momento della pubblicazione dell’avviso la CISA non ha rilevato sfruttamenti attivi, ma il margine di sicurezza è ridotto: vulnerabilità di questa gravità vengono spesso sfruttate nei giorni immediatamente successivi alla divulgazione. Le azioni consigliate comprendono la priorità ai sistemi esposti su internet, l’uso di un firewall applicativo in attesa delle patch e il monitoraggio dei processi worker di PHP, per cogliere attività anomale come l’avvio di shell o il download di strumenti. È utile anche consultare l’advisory ufficiale del progetto PHP per eventuali indicazioni aggiuntive sulla mitigazione.
Per le realtà che gestiscono siti e servizi basati su PHP il messaggio è semplice e decisivo: aggiornare subito, dando precedenza a ciò che è raggiungibile da internet, e mantenere nel tempo il parco software sulle versioni ancora supportate. Una disciplina di aggiornamento costante resta la difesa più efficace contro questo tipo di minacce, che continuano a colpire in modo trasversale l’intero ecosistema web, indipendentemente dalle dimensioni dell’organizzazione.
Fonte: CISA
URL sorgente: https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching