PHP2Shell: due vulnerabilità critiche in PHP. Cosa aggiornare e come proteggere i server

Il 21 ottobre 2026 il PHP Security Team ha rilasciato gli aggiornamenti per CVE-2026-109618 e CVE-2026-109619, conosciute insieme come PHP2Shell. Entrambe possono consentire l'esecuzione di codice da remoto senza autenticazione.

Il problema interessa il runtime PHP che elabora le richieste HTTP: non richiede necessariamente un difetto nel codice dell'applicazione. Il team PHP considera particolarmente esposte le installazioni Apache con mod_php, ma include anche PHP-FPM, php-cgi, FrankenPHP e LiteSpeed.

Le vulnerabilità riguardano la gestione della memoria durante le richieste: la prima coinvolge la pulizia dopo errori di memoria esaurita; la seconda uno stato globale collegato a richieste precedenti che può rimanere accessibile dopo la liberazione della memoria.

Le versioni correttive pubblicate sono **PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35**. Bisogna identificare il runtime effettivamente utilizzato dai servizi esposti e applicare la versione corretta per il proprio ramo.

Per i rami precedenti occorre verificare le patch del distributore oppure migrare a una versione supportata. Nei sistemi che usano aggiornamenti di sicurezza retroportati, il solo numero della versione non è una prova sufficiente dell'assenza della correzione.

Prima dell'intervento conviene effettuare e verificare un backup di file e database; dopo, testare l'applicazione, controllare la versione PHP attiva e accertare che i processi interessati siano stati riavviati.

È opportuno esaminare log HTTP, errori PHP, file modificati in modo anomalo e processi sospetti anche per il periodo precedente al rilascio della patch. Un aggiornamento corregge la vulnerabilità, ma non annulla un'eventuale compromissione avvenuta in precedenza.

Se non è possibile intervenire subito, il PHP Security Team documenta mitigazioni temporanee. Devono essere valutate rispetto alla configurazione e al funzionamento del servizio, e non coprono tutti i percorsi di attacco. La correzione completa rimane l'aggiornamento.

Amazon Threat Intelligence riferisce di avere osservato tentativi di sfruttamento attraverso MadPot già il 17 ottobre 2026, quattro giorni prima della divulgazione pubblica.

L'attività osservata non permette di determinare quanti server di produzione siano stati compromessi. L'NCSC-NL raccoglie informazioni operative per i responsabili della risposta e della protezione dei sistemi.

Per chi gestisce infrastrutture aziendali, la priorità resta individuare le istanze PHP esposte, verificare le patch e conservare le evidenze utili a riconoscere possibili incidenti.