ENISA e ACN hanno pubblicato due avvisi sulle vulnerabilità critiche PHP2Shell, sollecitando le organizzazioni ad aggiornare immediatamente i sistemi interessati. Secondo i dati del monitoraggio del CSIRT Italia, al 25 ottobre 2026 risultano 285.149 servizi PHP potenzialmente vulnerabili su 741.523 rilevati. L’81,9% dei servizi per i quali è stato possibile identificare la versione in uso risulta esposto alle criticità individuate.
Le vulnerabilità CVE-2026-109618 e CVE-2026-109619, entrambe con un punteggio CVSS v4.0 di 9,2, possono consentire a un attaccante remoto non autenticato di eseguire codice arbitrario sui sistemi interessati, compromettendone la riservatezza, l’integrità e la disponibilità. La circolazione pubblica di proof of concept (PoC) aumenta il rischio di tentativi di sfruttamento, rendendo prioritario intervenire sui sistemi esposti a Internet.
Con una dichiarazione congiunta, la Commissione europea, ENISA, CERT-EU, Europol EC3 e la rete CSIRT dell’Unione europea hanno raccomandato alle organizzazioni di individuare le applicazioni basate su PHP, coordinarsi con i fornitori di hosting e servizi e applicare tempestivamente gli aggiornamenti di sicurezza rilasciati dal team PHP il 21 ottobre 2026.
Le versioni corrette sono PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Le versioni precedenti di questi rami sono interessate, mentre PHP 8.1 e precedenti non sono più supportate dal progetto. È necessario verificare anche i prodotti commerciali e open source che integrano PHP come componente interno, comprese le applicazioni che non espongono direttamente l’interprete.
Una terza vulnerabilità ancora senza patch
L’ACN richiama inoltre l’attenzione sulla CVE-2026-115560, un’ulteriore vulnerabilità che potrebbe consentire l’esecuzione di codice da remoto in presenza di specifiche condizioni applicative e di configurazione. Al 25 ottobre non risulta disponibile una patch: le correzioni rilasciate per le prime due vulnerabilità non risolvono questo problema.
In attesa dell’aggiornamento, il CSIRT Italia raccomanda di disabilitare il parametro session.upload_progress.enabled, impostandolo a 0, e di verificare che la configurazione sia effettivamente applicata ai processi PHP interessati. L’esposizione a questa terza vulnerabilità non può essere determinata esclusivamente dalla versione installata, ma richiede una verifica delle condizioni applicative e di configurazione.
Le raccomandazioni per i gestori
L’ACN invita i gestori delle infrastrutture a intervenire con la massima tempestività, dando priorità ai servizi direttamente esposti su Internet. Oltre ad applicare gli aggiornamenti, è opportuno configurare in modalità blocco le regole specifiche dei Web Application Firewall (WAF), ove disponibili, senza considerarli sostitutivi delle patch.
Se non è possibile aggiornare tempestivamente i sistemi o adottare misure di mitigazione efficaci, occorre valutare l’isolamento o la temporanea disattivazione dei servizi vulnerabili. Sono inoltre raccomandate verifiche retrospettive sui log e sugli eventi di sicurezza, per individuare richieste HTTP anomale, errori di esaurimento della memoria, interruzioni inattese dei processi PHP o altri possibili indicatori di compromissione.
L’avviso di sicurezza di PHP è disponibile al seguente indirizzo: https://www.php.net/archive/2026.php
https://www.acn.gov.it/portale/en/w/php2shell-aggiornare-immediatamente-i-sistemi-vulnerabili
https://www.enisa.europa.eu/news/joint-statement-on-critical-php-vulnerabilities
