PHP2Shell: Falle PHP critiche scatenano una corsa globale ai patch e gli spegnimenti dei siti web

Il 21 ottobre 2026, il progetto PHP ha rilasciato aggiornamenti di emergenza – versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35 – per correggere due falle di sicurezza critiche che i ricercatori di sicurezza e i fornitori hanno soprannominato "PHP2Shell", secondo Help Net Security e il Canadian Centre for Cyber Security. Le falle, tracciate come CVE-2026-109618 e CVE-2026-109619, sono entrambe descritte come questioni di gravità critica; le fonti esaminate per questo articolo non hanno citato un punteggio CVSS numerico ufficiale.

Cosa fa la vulnerabilità

Entrambe le falle sono bug di sicurezza della memoria nel modo in cui PHP gestisce le richieste in condizioni anomale, secondo Bleeping Computer e Help Net Security. CVE-2026-109618 si verifica quando un errore di esaurimento della memoria interrompe PHP mentre i dati della richiesta interna sono solo parzialmente configurati, quindi le routine di pulizia in seguito trattano questi dati incompleti come validi. CVE-2026-109619 è un difetto di stato stantio: la memoria legata a una richiesta può essere liberata e quindi riutilizzata da una richiesta successiva sullo stesso worker prima di essere correttamente reimpostata, il che può esporre i dati o consentire l'esecuzione di codice.

Il Canadian Centre for Cyber Security ha classificato entrambi come vulnerabilità Use-After-Free (CWE-416) e ha affermato che un attacco riuscito consente a un attaccante non autenticato di eseguire codice arbitrario sul server, senza necessità di password o di alcuna azione da parte di un utente. L'agenzia ha affermato che le distribuzioni mod_php affrontano il rischio più elevato, poiché un exploit dimostrato può attivare il bug prima che qualsiasi codice dell'applicazione abbia la possibilità di eseguirsi – una descrizione utilizzata anche dal team di sicurezza PHP, come riportato da Bleeping Computer.

Il bug riguarda ogni installazione PHP che serve richieste web, inclusi PHP-FPM, mod_php di Apache, php-cgi, FrankenPHP e LiteSpeed, secondo Bleeping Computer e l'advisory canadese. Il codice sottostante è esistito in PHP per più di un decennio, come riportato da Fortune, sebbene le correzioni ufficiali siano state rilasciate per i rami attivamente supportati 8.2–8.5, con backport a livello di sorgente resi disponibili per 7.4 attraverso 8.1, che hanno superato le loro date di fine supporto.

Come è stata trovata e perché l'intelligenza artificiale è importante qui

Secondo Fortune, il codice difettoso è esistito in PHP per più di un decennio, ma tre parti separate lo hanno scoperto nel agosto 2026: la società di sicurezza Wiz, una società chiamata Calif e OpenAI, che ha lavorato con la PHP Foundation per una correzione e la divulgazione coordinata. Fortune ha riportato che Wiz ha utilizzato modelli di intelligenza artificiale inclusi GPT-5.6 Sol di OpenAI e Gemini 4 Argon di Google per aiutare a comprendere la debolezza e trasformarla in uno sfruttamento funzionante. Wiz ha detto a Fortune che il caso rappresentava un cambiamento guidato dall'intelligenza artificiale, affermando che mentre il codice vulnerabile era esistito per più di un decennio, ciò che è cambiato era la capacità dei ricercatori di utilizzare l'intelligenza artificiale per comprendere le debolezze e trasformarle in uno sfruttamento funzionante.

Fortune ha anche riportato che OpenAI, nella sua dichiarazione personale, ha affermato che l'episodio ha mostrato come l'intelligenza artificiale può aiutare a scoprire falle di sicurezza con un impatto su scala Internet, riconoscendo al contempo che le stesse capacità di intelligenza artificiale possono anche aiutare gli attaccanti a sviluppare strumenti e sfruttamenti offensivi più rapidamente.

Tentativi di sfruttamento e la risposta veloce di Cloudflare

Cloudflare ha affermato nel suo blog che ha attivato le regole di Web Application Firewall alle 03:02 UTC il 21 ottobre, che ha descritto come circa nove ore prima della divulgazione pubblica delle vulnerabilità. L'azienda ha lanciato sette "Regole generiche – Esecuzione anomala" per i clienti del piano gratuito e un set separato di sette regole equivalenti per i piani a pagamento, più una regola aggiuntiva che controlla sia la richiesta che la risposta all'interno della stessa transazione, secondo il post di Cloudflare come riassunto da ppc.land. Lo stesso post ha affermato che Cloudflare ha osservato attaccanti alterare i loro payload di sfruttamento successivamente nel tentativo di eludere le nuove regole, sebbene non abbia pubblicato cifre esatte di volume di attacco.

Separatamente, il team di Threat Intelligence di Amazon ha affermato di aver rilevato tentativi di sfruttamento contro le falle a partire dal 17 ottobre 2026 – quattro giorni prima della patch pubblica – secondo Bleeping Computer, suggerendo che alcuni attori di minaccia avevano accesso ai dettagli di sfruttamento prima della divulgazione generale. Al contrario, l'advisory del Canadian Centre for Cyber Security ha affermato che, al momento della sua stesura, non aveva identificato sfruttamenti attivi, avvertendo che la situazione potrebbe cambiare rapidamente. Le due valutazioni riflettono diversi punti di osservazione e timing piuttosto che una contraddizione di fatto.

Giappone: il governo chiede patch o spegnimento

La vulnerabilità ha attirato un'attenzione particolarmente intensa in Giappone. L'ufficio nazionale di cybersecurity del Giappone, un organo successore di NISC riorganizzato nel luglio 2025, ha emesso un advisory esortando gli operatori a verificare se i loro siti web eseguono PHP e ad agire rapidamente, secondo un rapporto di BigGo Finance sulla dichiarazione dell'agenzia. Il primo ministro Sanae Takaichi ha postato su X chiamandolo "una richiesta urgente per tutti di rispondere stasera", e ha affermato che la sospensione temporanea di un sito web potrebbe essere un modo efficace per ridurre il rischio se l'applicazione immediata della patch non fosse possibile, come riportato da BigGo Finance.

Seguendo questa guida, diversi servizi online giapponesi sono entrati in manutenzione di emergenza nella notte del 21 ottobre, inclusa la piattaforma di gestione dell'assistenza all'infanzia CoDMON, il gioco di carte Shadowverse: Worlds Beyond, il generatore di negozi online BASE e il provider di hosting Sakura Internet, secondo il rapporto di BigGo Finance. Le patch ufficiali di PHP sono state rilasciate intorno alle 22:40 ora del Giappone, prima di un target inizialmente annunciato alle 23:00, come ha detto lo stesso rapporto.

Separatamente, Internet Watch (Impress) ha riportato che il provider di comunicazioni giapponese Baltec ha sospeso circa 23 servizi – coprendo cloud, prenotazione, punto vendita e strumenti di gestione delle spese – dopo aver rilevato accesso non autorizzato con possibile esposizione di dati personali. Baltec ha inizialmente attribuito l'incidente a un attacco informatico che prendeva di mira una vulnerabilità PHP, ma l'azienda ha emesso una correzione lo stesso giorno affermando che la causa effettiva era una vulnerabilità nel suo stesso servizio, non la falla PHP, dopo aver affermato di aver confuso i due problemi durante la revisione delle sue misure di sicurezza relative a PHP. Baltec ha mirato al ripristino dei servizi per il 26 ottobre, come riportato da Internet Watch.

Scala di esposizione

PHP alimenta un stimato 70% dei siti web mondiali, inclusi siti WordPress, Wikipedia, Microsoft.com e Archive.org, come riportato da Fortune, citando che il 40% circa di tutti i siti web funziona su WordPress, che stesso dipende da PHP. Fortune ha anche citato una scansione iniziale che ha identificato 22,6 milioni di istanze PHP potenzialmente vulnerabili esposte a Internet.

Cosa è ancora sconosciuto

Secondo i rapporti disponibili, nessuna fonte conferma una violazione su larga scala riuscita direttamente causata dallo sfruttamento di PHP2Shell, a differenza degli spegnimenti precauzionali. Le cifre sui tentativi totali di sfruttamento variano per fonte e finestra di misurazione: l'amministratore delegato di Cloudflare è stato citato nella copertura giapponese tramite Yahoo! News come descritto come tentativi in aumento da migliaia prima della divulgazione a decine di migliaia entro 45 minuti e raggiungendo centinaia di migliaia entro due ore, con totali descritti come raggiungere i milioni al momento di quel rapporto; il post blog di Cloudflare stesso non ha ripetuto queste cifre specifiche. I lettori dovrebbero considerare i numeri di volume di attacco precisi come preliminari e soggetti a revisione da parte delle organizzazioni che li seguono.