PHP2Shell, falle critiche in PHP: l'allerta del CSIRT Italia

Il CSIRT Italia dell'Agenzia per la cybersicurezza nazionale (ACN) ha diffuso un'allerta su PHP2Shell, il nome dato a due vulnerabilità critiche di PHP, il linguaggio con cui funziona una grande parte dei siti web. Le falle, identificate come CVE-2026-109618 e CVE-2026-109619, possono permettere a un attaccante di eseguire codice da remoto sui server. Le correzioni sono uscite il 21 ottobre 2026 e vanno installate subito.

Quali versioni sono a rischio

Secondo il bollettino del CSIRT Italia e l'allerta del Centro canadese per la sicurezza informatica, sono vulnerabili PHP 8.5 prima della 8.5.12, PHP 8.4 prima della 8.4.27, PHP 8.3 prima della 8.3.36 e PHP 8.2 prima della 8.2.35. Sono queste le versioni corrette da installare. PHP 8.1 e le versioni precedenti non ricevono più aggiornamenti dal progetto PHP: chi le usa deve passare a una versione supportata o verificare con il proprio fornitore se sono disponibili correzioni.

Il CSIRT Italia assegna alle due falle un punteggio di gravità di 9,2 su 10 (CVSS 4.0) e segnala che esistono già dimostrazioni pubbliche di come sfruttarle. Il 23 ottobre l'allerta è stata aggiornata con una terza vulnerabilità, la CVE-2026-115560, legata a una configurazione poco comune: per questa, in attesa della correzione, si consiglia di impostare session.upload_progress.enabled a 0.

Cosa devi fare se hai un sito

Se gestisci un sito o un server, aggiorna PHP alla versione corretta e controlla nei log segnali di attacco, come richieste insolite, processi PHP che si bloccano o connessioni di rete anomale. Il CSIRT Italia suggerisce, se non puoi aggiornare in tempi brevi, di valutare di mettere offline i servizi che usano versioni vulnerabili. Le autorità canadesi raccomandano di dare la priorità ai sistemi esposti su internet.

Se il tuo sito è su un servizio di hosting, controlla dal pannello di controllo quale versione di PHP stai usando e chiedi al fornitore se ha già installato le versioni corrette. Le autorità ricordano anche di verificare i prodotti e i container che includono PHP al loro interno.

Il ruolo dell'intelligenza artificiale

Secondo quanto riportato dall'ANSA, alla scoperta della falla hanno contribuito anche strumenti di intelligenza artificiale: OpenAI ha dichiarato che i suoi modelli hanno avuto un ruolo nell'individuare PHP2Shell, definendolo uno dei problemi di sicurezza più significativi degli ultimi tempi.

Fonti: CSIRT Italia (ACN), bollettino AL07/261021, Canadian Centre for Cyber Security, ANSA