Vulnerabilità PHP critiche costringono siti governativi offline prima della patch di emergenza

Il team di sviluppo di PHP ha programmato una versione di sicurezza fuori ciclo per le 14:00 UTC del 21 ottobre 2026, per correggere due vulnerabilità critiche dopo che i dettagli erano trapelati online un giorno prima, secondo The Hacker News e la società di sicurezza Sansec. I difetti sono stati tracciati come CVE-2026-109618 e CVE-2026-109619 e sono stati informalmente soprannominati "PHP2Shell" dai ricercatori, un nome che il team stesso di PHP non ha adottato, come riportato da The Hacker News.

Cosa sono le vulnerabilità

Secondo il rapporto tecnico di Sansec, CVE-2026-109618 è un bug use-after-free nella gestione del progresso di caricamento di PHP che può perdere la memoria del server – incluse password, token di sessione e chiavi private TLS – attraverso il cookie PHPSESSID, in modo che l'azienda ha paragonato al bug Heartbleed del 2014. CVE-2026-109619 è un uso-after-free separato innescato quando si verifica un errore fatale durante l'esaurimento della memoria, combinato con la confusione di tipo nella OPcache di PHP, che secondo Sansec consente l'esecuzione remota del codice. Entrambi i bug sono raggiunti attraverso richieste multipart/form-data, il formato che le pagine web utilizzano per i caricamenti di file.

Il National Cyber Security Centre (NCSC) britannico ha descritto il rischio nel suo avviso del 21 ottobre come permettendo a un attaccante di "eseguire comandi su qualsiasi server web che esegue PHP" senza dover effettuare l'accesso, e ha valutato il problema come critico.

Perché i governi e le piattaforme si sono messe offline

Poiché PHP è alla base di una grande parte del web, diverse organizzazioni hanno scelto di spegnere i siti rivolti al pubblico piuttosto che aspettare la patch. Techzine ha riferito che i servizi del governo olandese, inclusi MijnOverheid, DigiD e i sistemi parlamentari, sono stati temporaneamente portati offline, e il servizio di notizie portato da KSL ha affermato che le agenzie di sicurezza informatica nei Paesi Bassi e in Finlandia hanno abbassato i siti governativi come precauzione. Techzine ha anche riferito che l'NCSC britannico e l'Agenzia statunitense per la sicurezza informatica e le infrastrutture (CISA) hanno emesso avvisi esortando gli amministratori a patchare o disabilitare i sistemi interessati, mentre Wikipedia e Meta hanno continuato a funzionare applicando runtime PHP modificati e regole di firewall delle applicazioni web anziché andare offline.

Sansec ha riferito che lo sviluppatore principale di PHP Gina Peter Banyard ha descritto il portare i server offline prima dell'arrivo della patch come l'opzione più sensata per le organizzazioni che non potevano applicare una correzione immediatamente – un consiglio che diversi organismi olandesi hanno seguito.

Cloudflare ha affermato di aver iniziato a vedere tentativi di sfruttamento prima del rilascio della patch ufficiale. Secondo il rapporto di KSL, il direttore della tecnologia di Cloudflare ha affermato che l'azienda stava osservando attacchi iniziali e aggiornando continuamente le sue mitigazioni man mano che apparivano nuovi metodi di attacco, descrivendo la protezione di Cloudflare come una soluzione temporanea fino all'arrivo della correzione ufficiale di PHP. Sansec ha separatamente riferito che Cloudflare ha rilevato attacchi a partire dalle 07:43 UTC del 21 ottobre, circa sei ore prima della correzione programmata di PHP.

• WordPress, Drupal, Joomla e Magento, i sistemi di gestione dei contenuti e di e-commerce basati su PHP
• Versioni specifiche nominate da Sansec come confermate vulnerabili: Magento 2.4.9, WordPress 7.1.2, Drupal 11.4.3, Joomla 6.1.4, MediaWiki 1.46.2, Roundcube 1.7.4, phpMyAdmin 5.2.3, Nextcloud 35.0.1, Laravel 13.11 e Symfony 8.1
• Piattaforme di hosting condiviso e pannelli di controllo che raggruppano PHP, secondo l'avviso NCSC
• Servizi governativi olandesi DigiD e MijnOverheid, secondo Techzine

Scala di esposizione: le stime variano

Cosa è noto e cosa non è noto

Il team di PHP ha confermato che PHP 8.2, 8.3, 8.4 e 8.5 riceverebbero correzioni ufficiali – previste come versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35, secondo The Hacker News – mentre i rami end-of-life 8.1 e precedenti non sarebbero patchati dal fornitore. Tuttavia, Sansec ha affermato che il codice difettoso sottostante risale a PHP 5.4.0, il che significa che molte installazioni più vecchie non supportate probabilmente rimangono vulnerabili senza correzione ufficiale disponibile. Secondo The Hacker News, nessun exploit proof-of-concept pubblico era disponibile dal suo rapporto del 21 ottobre, e i difetti non erano stati aggiunti al catalogo Known Exploited Vulnerabilities di CISA in quel momento – sebbene la successiva dichiarazione di Cloudflare indicasse che i tentativi di attacco erano già in corso.

Sfondo: come sono stati trovati i difetti

La timeline di Sansec traccia il primo bug alla ricerca iniziata il 1º agosto 2026 da un ricercatore che usa l'handle "Calif" che lavora con OpenAI, che lo ha segnalato al team di sicurezza di PHP l'11 agosto. Un secondo rapporto correlato è venuto dal team Wiz Research – nominato da Sansec come Sagi Tzadik, Shir Tamari, Nir Ohfeld e Tomer Schwartz – il 24 agosto. Sansec ha affermato che entrambi i team di ricerca hanno accreditato i modelli di IA per aver accelerato il lavoro di trovare e adattare gli exploit attraverso le versioni di PHP, con un ricercatore che presumibilmente ha raggiunto lo sfruttamento funzionante in circa una settimana. I dettagli della divulgazione coordinata e sottoposta a embargo sono trapelati pubblicamente il 20 ottobre, spingendo PHP a far avanzare il suo annuncio e impostare il rilascio della patch del 21 ottobre.