Il PHP Security Team ha rilasciato aggiornamenti di sicurezza per correggere due vulnerabilità critiche nel motore PHP, identificate come CVE-2026-109618 e CVE-2026-109619, entrambe con un punteggio CVSS v4.0 di 9,2 su 10. Denominate PHP2Shell, le falle possono consentire a un attaccante remoto non autenticato di eseguire codice arbitrario sui sistemi vulnerabili, sfruttando errori nella gestione della memoria.
Il rischio riguarda diverse configurazioni dei server web, tra cui Apache con mod_php e PHP-FPM. Le vulnerabilità possono essere attivate mediante richieste HTTP appositamente predisposte, in determinate condizioni anche prima dell’esecuzione del codice applicativo. Sono inoltre disponibili online proof of concept (PoC) che dichiarano di sfruttare le falle, aumentando la preoccupazione per i sistemi esposti su Internet.
Siti istituzionali europei offline per precauzione
La gravità del problema ha spinto diverse organizzazioni europee a disattivare temporaneamente siti e servizi online in attesa delle correzioni. Tra i sistemi interessati figurano siti istituzionali dei Paesi Bassi, servizi delle amministrazioni centrali finlandesi e piattaforme universitarie, tra cui quelle dell’Università di Vienna. Le sospensioni sono state adottate a scopo precauzionale per ridurre l’esposizione a possibili attacchi.
Versioni interessate e aggiornamenti
Le vulnerabilità riguardano le versioni di PHP precedenti alle seguenti release correttive:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Si raccomanda di aggiornare tempestivamente le installazioni vulnerabili, dando priorità ai server accessibili da Internet. Per le versioni 8.1 e precedenti, non più supportate dal progetto PHP, è necessario verificare la disponibilità di correzioni fornite da distributori o fornitori con supporto esteso.
Se l’aggiornamento non può essere applicato immediatamente, è opportuno valutare l’isolamento dei servizi vulnerabili dalla rete pubblica. Si consiglia inoltre di analizzare i log e gli eventi di sicurezza per individuare eventuali tentativi di sfruttamento o segnali di compromissione.
https://www.acn.gov.it/portale/en/w/php2shell-sanate-vulnerabilita-critiche-in-php
https://tg24.sky.it/tecnologia/2026/10/22/php-vulnerabilita-sicurezza-siti-cosa-succede
