Due falle critiche scuotono PHP: patch d’emergenza alle 16:00 per bloccare PHP2Shell

Due vulnerabilità critiche con punteggio CVSS di 9.2 su 10 impongono un aggiornamento immediato per la maggior parte dell’infrastruttura web mondiale, con il rilascio della patch ufficiale fissato esattamente per le 16:00 in Italia. I difetti di sicurezza, catalogati con le sigle CVE-2026-109618 e CVE-2026-109619, espongono milioni di piattaforme online al rischio concreto di esecuzione di codice da remoto senza autenticazione preventiva.

L’allarme ha costretto la PHP Foundation e il team di sicurezza ad anticipare di ventiquattr’ore la distribuzione del correttivo, originariamente prevista per giovedì, a causa della circolazione non autorizzata delle informazioni tecniche e di un exploit ribattezzato nell’ambiente con il nome PHP2Shell.

Cosa sono le falle CVE-2026-109618 e CVE-2026-109619

Le due vulnerabilità scoperte nel motore di PHP consentono a soggetti malintenzionati esterni di inviare istruzioni arbitrarie direttamente alla macchina che ospita i servizi web. Con un punteggio di gravità pari a 9.2, l’impatto potenziale è devastante: chi attacca può ottenere il controllo completo del sistema operativo sottostante, rubare database riservati o iniettare software malevolo senza dover inserire credenziali di accesso.

Secondo le analisi condotte dagli esperti di watchTowr, che hanno verificato e riprodotto con successo la falla CVE-2026-109618 in ambienti di prova controllati, il problema è reale e verificabile, sebbene al momento non siano stati rilevati attacchi attivi su larga scala né iscrizioni nel catalogo CISA KEV.

The PHP security team is giving advance notice: Upcoming security release, two critical vulnerabilities, both rated CVSSv4 9.2. PHP users are encouraged to prepare to update.

Questo avviso diffuso tramite i canali ufficiali ha fatto scattare l’allerta immediata tra i sistemisti italiani ed europei, complice anche l’avviso preventivo diramato dalla struttura comunitaria CERT-EU per contenere i rischi prima della divulgazione di dettagli ancora più specifici.

Perché il web trema: l’impatto su CMS ed e-commerce

Il linguaggio di programmazione creato originariamente come Personal Home Page alimenta oggi circa il 69% dei portali web conosciuti. Su questa tecnologia poggiano i software di gestione dei contenuti più diffusi, come WordPress e Drupal, ma anche le principali soluzioni per il commercio elettronico, tra cui WooCommerce e Magento.

Un malintenzionato che sfrutta una falla di tipo RCE (Remote Code Execution) non colpisce soltanto un singolo applicativo, ma l’intero ambiente server. La società olandese Sansec ha avvertito che i primi tentativi di scansione e attacco automatizzato potrebbero manifestarsi entro appena quindici minuti dalla pubblicazione del codice della correzione.

Come funziona il vettore degli upload multipart

Le ricostruzioni tecniche preliminari puntano il dito contro il meccanismo di gestione dei caricamenti file e dei moduli inviati tramite browser. In particolare, sotto la lente degli analisti c’è la direttiva legata all’avanzamento dei file (session.upload_progress), abilitata per impostazione predefinita sin dalle versioni storiche dell’interprete.

Quando un client spedisce una richiesta POST con dati multipart, il server elabora determinate intestazioni prima ancora che il codice dell’applicazione specifica entri in funzione. Uno strumento circolato in rete, attribuito a Calif.IO, sfrutterebbe proprio questa dinamica per trasformare una banale richiesta HTTP in una shell remota.

Falso mito e realtà sui rischi reali di PHP2Shell

Nel settore della sicurezza informatica si è rapidamente diffusa l’idea che basti configurare una semplice regola sul firewall applicativo o disabilitare una singola opzione nei file di configurazione per mettersi completamente al riparo senza riavviare i servizi.

La realtà tecnica smentisce questa convinzione: società specializzate come GMO Flatt Security e watchTowr hanno precisato che non esistono workaround certi e universali capaci di sostituire la patch ufficiale del codice sorgente. La modifica manuale delle impostazioni di avanzamento upload può attenuare la superficie d’attacco, ma l’unico intervento risolutivo resta l’aggiornamento dei file binari.

Il problema più grave riguarda i sistemi obsoleti. I dati raccolti tramite il motore di ricerca Shodan dalla società Mallory indicano che circa 884.000 server esposti su Internet eseguono release non più supportate. Poiché il supporto ufficiale copre unicamente i rami da 8.2 a 8.5, chi gestisce server fermi alle versioni 8.1, 8.0 o addirittura al ramo 7 dovrà fare affidamento su pacchetti personalizzati forniti dai manutentori delle singole distribuzioni Linux.

Cosa devono fare amministratori di sistema e utenti

Chi naviga quotidianamente sui portali web o effettua acquisti online non deve compiere alcuna azione diretta sul proprio dispositivo. La responsabilità della protezione dei dati ricade interamente sui fornitori di hosting, sui provider cloud e sugli amministratori di sistema.

Ecco le azioni immediate richieste a chi gestisce infrastrutture web:

1. Mappare le versioni attive: identificare immediatamente quali macchine virtuali o container eseguono istanze di PHP, verificando se appartengono ai rami supportati (8.2, 8.3, 8.4 o 8.5).
2. Pianificare l’applicazione della patch: predisporre i comandi di aggiornamento dei repository non appena i pacchetti corretti vengono distribuiti dai canali ufficiali.
3. Isolare le installazioni obsolete: per i server che impiegano versioni non più manutenute (da 5.4 a 8.1), predisporre restrizioni d’accesso a monte o migrazioni d’emergenza verso rami moderni.
4. Monitorare i registri di sistema: verificare la presenza di anomalie o payload sospetti veicolati attraverso richieste multipart anomale.

La tempestività nell’aggiornamento rappresenta l’unica barriera efficace contro la potenziale ondata di attacchi automatici pronti a colpire la rete.

🔒 Verifica subito le versioni installate sui tuoi ambienti di sviluppo e produzione per pianificare il riavvio dei servizi.

💬 Lascia un commento qui sotto per condividere lo stato dei tuoi aggiornamenti o segnalare eventuali problemi riscontrati con il rilascio della patch.

📢 Condividi la tua esperienza con i colleghi sistemisti per accelerare la messa in sicurezza dell’infrastruttura web.