Fabrizio Pace
Prima di esporre la minaccia venuta a galla in questi giorni ed eventuali rimedi per mitigarla, occorre spiegare ai più a cosa ci si riferisce in rete quando si fa riferimento al linguaggio definito dall’acronimo PHP: (Hypertext Preprocessor) è un linguaggio di scripting interpretato, open‑source e lato server, progettato principalmente per creare pagine web dinamiche e integrabile direttamente nel codice HTML (HyperText Markup Language) che è il linguaggio di marcatura standard utilizzato per creare e strutturare le pagine web, definendone contenuti ed elementi tramite tag racchiusi tra parentesi angolari).
Due vulnerabilità critiche nel linguaggio PHP stanno scuotendo il mondo della cybersicurezza. Identificate come CVE-2026-109618 e CVE-2026-109619, le falle consentono a un aggressore remoto di eseguire codice arbitrario sui server vulnerabili senza necessità di autenticazione, aprendo la strada a potenziali compromissioni complete dei sistemi. Secondo i ricercatori di sicurezza, gli exploit sarebbero già stati osservati in attività malevole reali. E’ questo il responso dell’Intelligenza Artificiale che aiuta a capire quanto sta accadendo in rete e soprattutto quanto potrebbe accadere se non si corre ai ripari velocemente.
Patch d’emergenza rilasciate dal team PHP
Per fronteggiare la minaccia, il progetto PHP ha pubblicato il 21 ottobre 2026 una serie di aggiornamenti straordinari che correggono entrambe le vulnerabilità. Le versioni messe in sicurezza sono:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Tutte le versioni precedenti risultano vulnerabili. Per i rami ormai fuori supporto, come PHP 8.1 e versioni antecedenti, non sono previsti aggiornamenti ufficiali completi, rendendo necessario affidarsi a backport dei distributori Linux o procedere a una migrazione verso release supportate.
Perché queste vulnerabilità sono così pericolose
by onnikontiokorpi da Pixabay
Le due falle, soprannominate dalla comunità di ricerca“PHP2Shell”, presentano un punteggio CVSS 9.2 su 10, classificandosi tra le minacce più gravi per un’infrastruttura web.
Secondo le analisi pubblicate da diversi esperti di cybersicurezza, il problema riguarda direttamente il motore interno di PHP e non specifici CMS, plugin o framework. Il 90% dei siti internet dai più elementari ai più importanti girano nelle piattaforme web interessate. Ciò significa che possono essere esposti:
- WordPress
- Drupal
- Joomla
- Laravel
- Magento
- applicazioni web personalizzate
e qualsiasi altra piattaforma basata sul runtime PHP.
La prima vulnerabilità, CVE-2026-109618, è legata alla gestione della memoria durante particolari condizioni di esaurimento delle risorse (“out of memory”), che possono generare fenomeni di corruzione della memoria stessa. La seconda, CVE-2026-109619, coinvolge invece la gestione dello stato interno delle richieste web, consentendo il riutilizzo improprio di dati lasciati in memoria da richieste precedenti. Entrambi gli scenari possono sfociare nell’esecuzione di codice remoto (RCE).
Anche una semplice pagina “Hello World” può essere bersaglio
Uno degli aspetti più allarmanti evidenziati dagli analisti è che l’attacco può avvenire prima ancora che il codice applicativo venga eseguito. In pratica, persino una semplice pagina “Hello World” ospitata su una versione vulnerabile di PHP potrebbe risultare esposta all’exploit.
Questo rende inefficaci molte delle contromisure normalmente adottate a livello applicativo, spostando l’attenzione direttamente sull’aggiornamento del motore PHP.
Divulgazione anticipata e corsa contro il tempo
La pubblicazione ufficiale delle vulnerabilità era stata programmata per il 22 ottobre nell’ambito di una divulgazione coordinata. Tuttavia, una fuga di informazioni avvenuta il giorno precedente ha accelerato il processo, costringendo il team PHP a rilasciare le patch in anticipo per ridurre la finestra di esposizione.
Nel frattempo, diverse società di sicurezza hanno segnalato tentativi di sfruttamento in rete. WatchTowr ha dichiarato di aver osservato attività malevole attraverso la propria rete di honeypot, mentre altri operatori del settore hanno rilevato scansioni e tentativi di attacco su larga scala contro server esposti a Internet.
Cosa dovrebbero fare gli amministratori di sistema
Gli esperti concordano su un punto: non esistono mitigazioni complete alternative all’aggiornamento. E per questo mi sono fatto aiutare dalla parte buona dell’IA, in questo caso quella di Microsoft, l’ho interpellata, l’ho stressata e insieme abbiamo partorito una serie di accortezze ed operazioni che le organizzazioni dovrebbero compiere:
- Verificare immediatamente la versione PHP in esecuzione.
- Aggiornare alle release corrette.
- Riavviare i servizi PHP-FPM, Apache o Nginx interessati.
- Controllare eventuali file sospetti, accessi anomali e attività insolite successive all’esposizione della vulnerabilità.
- Prestare particolare attenzione ai sistemi che utilizzano versioni PHP non più supportate.
Un nuovo campanello d’allarme per il web
PHP continua ad alimentare una quota significativa dei siti web mondiali e rappresenta il cuore tecnologico di milioni di applicazioni online.
La comparsa di vulnerabilità che permettono l’esecuzione remota di codice senza autenticazione conferma ancora una volta quanto sia fondamentale mantenere costantemente aggiornate le infrastrutture esposte su Internet.
L’episodio dimostra inoltre come, nell’attuale scenario delle minacce informatiche, anche poche ore di ritardo tra la divulgazione di una falla e l’applicazione delle patch possano fare la differenza tra un sistema sicuro e uno compromesso.
Fabrizio Pace
