PHP2Shell: i due difetti PHP critici che hanno messo offline i governi

PHP2Shell è un soprannome per due vulnerabilità nel linguaggio di programmazione PHP stesso, non in nessun sito web o app singolo. Sono tracciati come CVE-2026-109618 e CVE-2026-109619, e il team di sicurezza di PHP stesso ha valutato entrambi con 9,2 su 10 sulla scala CVSS v4.0, la sua categoria «critica», secondo la pagina dell'archivio ufficiale 2026 del progetto PHP.

Cosa fanno effettivamente i due difetti

Secondo l'avviso ufficiale del progetto PHP, CVE-2026-109618 viene innescato quando PHP esaurisce la memoria mentre gestisce una richiesta web. L'errore di memoria insufficiente può interrompere PHP prima che i dati della richiesta interna siano completamente configurati, e il processo di pulizia che segue potrebbe quindi trattare quei dati incompleti come validi, il che può portare a corruzione della memoria ed esecuzione remota di codice.

CVE-2026-109619 è descritto da PHP come un bug di «stato globale stantio»: i dati legati alla richiesta di un visitatore possono rimanere nella memoria di un server dopo che avrebbero dovuto essere cancellati, e la richiesta successiva di un visitatore gestita dallo stesso processo worker potrebbe finire per agire su questi residui. L'azienda di sicurezza watchTowr, che gestisce una rete globale di sistemi di monitoraggio, ha affermato che entrambi i bug permettono a un attaccante di eseguire codice senza alcun login richiesto, prima che il codice stesso del sito web inizi nemmeno ad eseguirsi.

L'azienda di sicurezza olandese Sansec ha aggiunto ulteriori dettagli tecnici, dicendo che uno dei percorsi di sfruttamento passa attraverso la funzione di «progresso caricamento» della sessione PHP e può esporre dati come password, chiavi API e chiavi di crittografia che si trovavano casualmente nella memoria di un server da altre richieste non correlate.

Perché così tanti siti web erano esposti

I bug si trovano all'interno del motore PHP, quindi qualsiasi sito web o app creato con PHP è potenzialmente esposto, indipendentemente da quale sistema di contenuti funziona su di esso. Ciò include piattaforme ampiamente utilizzate come WordPress, Drupal, Joomla, Magento e Nextcloud, secondo Sansec. PHP rimane uno dei linguaggi di programmazione lato server più ampiamente utilizzati sul web, che è uno dei motivi per cui i difetti sono stati trattati come un rischio ampio e su larga scala.

I ricercatori di sicurezza presso Wiz hanno identificato i difetti, e Help Net Security ha riferito che i ricercatori hanno detto che i progressi negli strumenti AI di frontiera hanno abbassato significativamente la barriera tecnica per trasformare un problema di gestione della memoria da lungo tempo noto e difficile da sfruttare in un exploit funzionante.

Perché i governi hanno messo offline i siti

I dettagli tecnici dei difetti sono stati divulgati prima che la patch ufficiale di PHP fosse pronta, riducendo il solito vantaggio che i difensori ottengono prima che una correzione diventi pubblica. Il blog di sicurezza Safeguard ha riferito che il 21 ottobre 2026, i Paesi Bassi hanno spento servizi incluso il sito del proprio centro nazionale di sicurezza informatica, Overheid.nl, il sito web della Camera dei Deputati e diversi siti ospedalieri e di partiti politici come misura precauzionale. Il provider IT statale finlandese Valtori ha messo offline i servizi di rete governativa come misura precauzionale, e l'azienda IT municipale danese Kombit ha spento diversi servizi inclusa una piattaforma nazionale di comunicazione scolastica. Il Ministero dell'Interno francese ha temporaneamente messo offline i siti di prefetture e amministrazioni locali, dicendo che stava aspettando che la correzione PHP fosse applicata. Il provider IT federale tedesco ITZBund e il Ministero degli Affari Esteri belga hanno anche messo offline i siti, anche se Safeguard ha riferito che hanno dato motivi diversi: ITZBund ha detto che non conosceva alcun incidente di sicurezza, mentre il Ministero degli Affari Esteri belga ha citato rapporti di attacchi.

watchTowr ha detto che la sua rete di honeypot, Attacker Eye, ha registrato tentativi di sfruttamento nel mondo reale a partire dal 21 ottobre 2026, un giorno dopo la divulgazione e lo stesso giorno in cui PHP ha pubblicato la sua correzione.

I due difetti a confronto

Come proteggere il tuo sito e i tuoi dati

1. Se gestisci un sito web su PHP: aggiorna a una versione corretta — PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35 — e riavvia tutti i processi worker PHP in seguito, come enfatizzano l'avviso di PHP e runZero, che sottolineano che l'aggiornamento è l'unica correzione completa.
2. Se sei ancora su PHP 7.4, 8.0 o 8.1, che non ricevono più aggiornamenti ufficiali, ottieni una patch di sicurezza retroportata dalla tua distribuzione Linux o dal tuo provider di hosting, poiché il progetto PHP ha smesso di mantenere questi rami, secondo la pagina dell'archivio PHP.
3. Finché non puoi applicare le patch, runZero consiglia passaggi intermedi a livello di server o proxy: limitare i limiti di memoria in modo che le applicazioni non possano sovrascriverli, applicare limiti di dimensione della richiesta e caricamento multipart bassi e disabilitare la funzione di «progresso caricamento» della sessione.
4. Controlla i tuoi registri di accesso del server web per insolite richieste POST multipart/form-data, che Sansec dice sono comuni ai tentativi di sfruttamento noti, e stai in guardia per inaspettati picchi di memoria PHP o errori fatali.
5. Come utente di Internet di tutti i giorni, non puoi applicare patch ai server che non controlli, ma puoi stare in guardia per le notifiche di violazione dei servizi che utilizzi, utilizzare una password univoca per ogni account e attivare l'autenticazione a due fattori in modo che una password trapelata da sola non sia sufficiente per accedere ai tuoi account.

Cosa rimane ancora poco chiaro

Al momento della relazione esaminata, c'era disaccordo tra gli esperti su quanto diffuso fosse già lo sfruttamento attivo al momento in cui diversi governi decisero di mettere offline i siti; Safeguard ha riferito che il governo olandese ha detto di non avere segni di sfruttamento attivo quando ha agito, mentre watchTowr ha confermato separatamente i veri tentativi di attacco contro i suoi honeypot il giorno successivo.