A seguito della scoperta di due vulnerabilità critiche in PHP, che possono consentire l’esecuzione di codice da remoto, sono disponibili strumenti open source per verificare l’eventuale esposizione dei sistemi. Il CERT-AGID segnala OpenAI PHP2Shell Checker e Assetnote PHP2Shell Scanner, che consentono di effettuare controlli con modalità differenti.
Il primo verifica la versione PHP dichiarata da un server web o installata localmente, confrontandola con quelle corrette, senza tentare di sfruttare le vulnerabilità. Il secondo esegue invece test attivi attraverso richieste HTTP appositamente costruite, analizzando eventuali anomalie del server che potrebbero indicare la presenza delle falle.
L’utilizzo di Assetnote PHP2Shell Scanner richiede particolare cautela, perché i test possono provocare errori o interferire con il funzionamento dei servizi. È quindi necessario operare esclusivamente su sistemi autorizzati, valutando preventivamente i possibili impatti.
Il CERT-AGID invita le amministrazioni a coinvolgere i rispettivi fornitori tecnologici nelle attività di verifica, dando priorità ai servizi esposti su Internet. È inoltre necessario accertare che gli aggiornamenti di sicurezza siano stati effettivamente applicati, considerando anche eventuali correzioni distribuite tramite backport, ovvero integrate nei pacchetti software senza necessariamente modificare il numero di versione originario.
Gli strumenti rappresentano un supporto alle verifiche, ma non garantiscono risultati definitivi: un esito negativo non esclude necessariamente la presenza delle vulnerabilità. La verifica deve quindi comprendere l’accertamento della versione PHP effettivamente utilizzata dal servizio web e delle correzioni installate.
Le istruzioni operative e i controlli aggiuntivi sui server sono disponibili nella pagina ufficiale del CERT-AGID:
