Due Falle PHP Critiche Soprannominate "PHP2Shell" Espongono la Maggior Parte del Web

Il 21 ottobre 2026, il progetto PHP ha rilasciato versioni corrette del linguaggio dopo che i ricercatori di sicurezza hanno divulgato due vulnerabilità critiche di esecuzione di codice remoto collettivamente soprannominate "PHP2Shell." I difetti, tracciati come CVE-2026-109618 e CVE-2026-109619, sono stati trovati dall'azienda di sicurezza cloud Wiz Research, che ha riconosciuto le organizzazioni Calif e OpenAI per il loro contributo alla scoperta, al coordinamento e alla verifica delle patch, secondo il rapporto pubblico di Wiz.

Cosa fanno le due vulnerabilità

Wiz afferma che i due CVE in realtà raggruppano quattro distinti bug sottostanti. CVE-2026-109618 copre un difetto use-after-free nello strumento di deserializzazione del progresso di caricamento della sessione di PHP, che può essere abusato per l'esecuzione di codice remoto, più un bug correlato che può far perdere memoria da un processo di lavoro PHP in esecuzione senza autenticazione. CVE-2026-109619 copre un use-after-free nella gestione della traccia di errore fatale di PHP e un difetto di confusione di tipo separato in OPcache, la cache bytecode della memoria condivisa di PHP.

Secondo Wiz, entrambi i problemi risiedono in percorsi di codice che quasi ogni richiesta PHP attraversa: gestione della memoria e gestione degli errori. La PHP Foundation ha fatto lo stesso punto nei commenti riportati dall'outlet SecurityWeek.

Cronologia della scoperta

Il team di ricerca di Wiz – nominato nel suo post sul blog come Sagi Tzadik, Shir Tamari, Nir Ohfeld e Tomer Schwartz – afferma di aver trovato il primo bug il 19 agosto 2026 e confermato exploit funzionanti di esecuzione di codice remoto contro installazioni di WordPress e Drupal nei due giorni seguenti. Il team ha segnalato i suoi risultati al team di sicurezza di PHP il 24 agosto 2026. La divulgazione pubblica e le corrispondenti patch hanno seguito il 21 ottobre 2026.

Wiz afferma di aver utilizzato modelli di codifica AI, tra cui Google Gemini 4 Argon e GPT-5.6 Sol di OpenAI, per aiutare a costruire exploit proof-of-concept, descrivendo lavoro che in precedenza avrebbe richiesto ai ricercatori specializzati mesi come realizzabile in ore.

Chi è interessato

Wiz afferma che i difetti sottostanti esistono in ogni versione di PHP rilasciata nell'ultimo decennio circa, con almeno uno dei due CVE presenti da PHP 5.4 in poi. L'azienda afferma di aver confermato l'esecuzione di codice remoto non autenticata contro le versioni correnti di tre sistemi di gestione dei contenuti ampiamente utilizzati: WordPress, Drupal e Joomla. SecurityWeek riferisce che i bug interessano i metodi comuni di distribuzione di PHP, inclusi PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed.

Wiz inquadra l'ampiezza dell'esposizione come interessando circa il 70% di Internet, un riferimento alla percentuale di siti web che eseguono PHP in qualche forma, secondo il rapporto dell'azienda.

Tentativi di sfruttamento dopo la divulgazione

Diverse aziende di sicurezza hanno monitorato il traffico di attacco intorno alla divulgazione. SecurityWeek riferisce che l'azienda watchTowr ha rilevato i primi tentativi di sfruttamento in natura intorno al momento dell'arrivo delle patch ma non aveva confermato un compromesso riuscito. Hadrian ha detto a SecurityWeek che aveva osservato tentativi di sfruttamento su larga scala prima del rilascio delle patch, concentrati sul percorso del codice di progresso del caricamento della sessione di PHP. Patchstack, Cloudflare e Vega hanno registrato i tentativi il giorno della divulgazione, e Amazon ha affermato di aver identificato tentativi di sfruttamento quattro giorni prima del rilascio delle patch.

Perché la scala di PHP rende questo significativo

PHP è stato creato dal programmatore danese-canadese Rasmus Lerdorf, rilasciato per la prima volta nel 1995, e rimane uno dei linguaggi di scripting lato server più utilizzati per la creazione di siti web, secondo Wikipedia. La stessa fonte nota che a partire da novembre 2025, più della metà dei siti web alimentati da PHP stavano ancora eseguendo il ramo PHP 7 non supportato, e circa il 9,7% era ancora su PHP 5, che è stato interrotto anni fa – un modello di software legacy che i ricercatori di sicurezza affermano complica la patching rapida nell'ecosistema PHP più ampio.