Nel weekend è stata confermata l’attività di sfruttamento in tempo reale delle due vulnerabilità note come PHP2Shell. In risposta, l’CISA (Cybersecurity and Infrastructure Security Agency) ha aggiornato il proprio catalogo Known Exploited Vulnerabilities (KEV), segnando CVE-2026-109618 e CVE-2026-109619 come minacce attive. La mossa obbliga tutte le agenzie civili degli Stati Uniti a installare le correzioni entro giovedì 29 ottobre, segnalandone così la priorità a livello federale.
CISA aggiunge PHP2Shell al catalogo KEV e fissa la scadenza del 29 ottobre
Le due vulnerabilità interessano il cuore di PHP, il linguaggio di scripting più diffuso per il web. CVE-2026-109618 è una corruzione di memoria dovuta all’esaurimento delle risorse, mentre CVE-2026-109619 riguarda uno stato interno residuo che può essere riutilizzato dopo il rilascio della memoria. Entrambe consentono l’esecuzione di codice remoto (remote code execution) senza necessità di autenticazione, ottenendo un punteggio CVSS 9.2. L’inclusione nella lista KEV indica che le vulnerabilità sono già state sfruttate attivamente da attori malevoli.
Dettagli delle due vulnerabilità
Il primo difetto, CVE-2026-109618, si manifesta quando PHP esaurisce la memoria disponibile durante l’elaborazione di richieste multipart, lasciando dati parziali non completamente inizializzati. Il secondo, CVE-2026-109619, è un caso di use-after-free: uno stato di richiesta globale rimane in memoria anche dopo che il contenitore è stato liberato, permettendo a una successiva richiesta di riutilizzare tale stato in modo non previsto. In ambienti mod_php Apache, l’exploit può avviarsi prima che l’applicazione web gestisca l’autenticazione.
Segnali di sfruttamento: honeypot, dichiarazioni e statistiche di patching
Il 25 ottobre, un honeypot isolato ha registrato un tentativo di remote code execution contro un server Apache con mod_php versione 8.4.26. L’attacco ha sfruttato entrambe le CVE, dimostrando la fattibilità tecnica dell’exploit. William Wright, CEO di Closed Door Security, ha confermato che la conferma di CISA “valida le preoccupazioni di tutta la comunità”. Parallelamente, CrowdStrike ha osservato che la trasformazione di un proof-of-concept in arma operativa richiede un adattamento specifico alla versione PHP e all’ambiente di destinazione, introducendo una “barriera significativa” per gli attori meno esperti.
Il tracker gratuito di Infrawatch, aggiornato alle 12:00 UTC del 27 ottobre, mostrava circa 443.000 host pubblici già patchati – un incremento di 31.000 unità nelle ultime 24 ore, pari al 20 % del totale osservato. Nel Regno Unito il tasso di patching era del 27,2 %, mentre negli Stati Uniti del 19,7 %.
Il panorama più ampio: rilasci di patch, conflitti sui report e dispositivi non più supportati
Il team di sviluppo di PHP ha pubblicato il 21 ottobre le versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35 per correggere le due CVE, classificandole con un CVSS 9.2. Queste correzioni interessano tutti i modelli di esecuzione, da PHP-FPM a LiteSpeed. Tuttavia, molte installazioni ancora segnalano rami non più supportati: Unit 42 ha stimato più di 22,6 milioni di istanze potenzialmente vulnerabili, mentre Bitsight ha rilevato che due terzi delle versioni identificabili si trovano su rami obsoleti, il più comune è la serie 7.4 con oltre 2 milioni di rilevamenti.
Il 23 ottobre, Unit 42 aveva pubblicato un brief che collegava un’intrusione a un “agente AI” su un’agenzia governativa europea. Due giorni dopo, l’azienda ha ritirato l’affermazione, precisando di non aver potuto confermare un legame diretto con le CVE PHP2Shell. Nessuna fonte primaria – né ReliaQuest né CrowdStrike – ha registrato compromissioni riuscite in ambienti di produzione; entrambe le società hanno segnalato solo esperimenti controllati in laboratorio o comportamenti limitati nei propri honeypot.
Stime di esposizione globale
Secondo Recorded Future, circa il 79 % dei servizi con versione leggibile gira su rami non più sostenuti, mentre su VirusTotal sono stati individuati 758 000 indirizzi IP con versioni “end-of-life” contro 272 000 con rami ancora supportati. Questi numeri, sebbene non coincidano perfettamente, evidenziano una realtà comune: la maggior parte dei server PHP esposti non riceverà una correzione immediata, rendendo urgente la migrazione verso versioni attivamente mantenute.
Raccomandazioni operative per le realtà esposte
Le organizzazioni devono verificare immediatamente la presenza di PHP nei propri stack, includendo anche i componenti di terze parti che potrebbero nascondere un interprete vulnerabile. L’aggiornamento alle versioni 8.5.12 o successive è la misura più efficace; per i rami 8.1 e precedenti, è consigliabile migrare a un ramo supportato o richiedere back-port al fornitore. Ulteriori mitigazioni includono la disattivazione dell’upload progress dove non è necessario, la limitazione della dimensione delle richieste multipart e l’assegnazione di account con privilegi minimi a ciascuna applicazione.
Infine, è fondamentale analizzare i log a ritroso a partire dal 17 ottobre, cercando processi di web server che avviano shell, nuovi file PHP nella directory web e connessioni in uscita insolite. In caso di compromissione, la rotazione di credenziali, token e chiavi è raccomandata, così come l’isolamento dei server interessati per limitare ulteriori danni.
