Come sappiamo, due vulnerabilità critiche di PHP, denominate “PHP2Shell” (CVE-2026-109618 e CVE-2026-109619), potrebbero consentire ad aggressori non identificati di eseguire codice in remoto su server web vulnerabili.
Data la gravità del problema, centinaia di siti web, compresi quelli governativi di tutto il mondo, sono stati messi offline a titolo precauzionale. Gli esperti hanno avvertito che queste falle “gravi” potrebbero esporre milioni di siti a potenziali attacchi hacker se non venissero corrette.
PHP ha rilasciato correzioni di emergenza il 21 ottobre nelle versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Entrambe le vulnerabilità hanno un punteggio CVSS pari a 9,2 (critico). Le organizzazioni sono esortate ad applicare le patch con urgenza; PHP 8.1 e le versioni precedenti sono fuori supporto e non ricevono più correzioni standard da parte del team PHP.
Il commento di Anton Cherepanov, Principal Malware Researcher di ESET
“In ESET, abbiamo rilevato attività di scansione da parte di autori malintenzionati, ma al momento non si registrano compromissioni diffuse o significative. In base alle nostre osservazioni, queste vulnerabilità non sono così facili da sfruttare su larga scala come quelle del tipo Log4Shell, che hanno consentito di compromettere rapidamente un gran numero di sistemi esposti.
Sebbene finora abbiamo riscontrato nei nostri dati solo un numero limitato di tentativi effettivi di sfruttamento delle vulnerabilità PHP, non possiamo prevedere il futuro e, in casi di grande rilevanza e di ampio risalto come questo, la situazione può cambiare rapidamente. Raccomandiamo vivamente di applicare tempestivamente le patch per le vulnerabilità e di mantenere alta la vigilanza.”
