PHP, due falle da 9,2: perché gli amministratori devono aggiornare

Un errore nella gestione della memoria può trasformare una normale richiesta internet in un punto d’ingresso per eseguire comandi su un server. È il rischio associato a PHP2Shell, il nome con cui vengono indicate due vulnerabilità appena corrette nel linguaggio PHP, mentre alcuni enti pubblici europei hanno scelto di disattivare temporaneamente i propri servizi online per precauzione.

Due difetti, la stessa minaccia

Le falle sono registrate con i codici CVE-2026-109618 e CVE-2026-109619 e hanno ottenuto un punteggio di 9,2 su 10 nella scala CVSS, utilizzata per stimare la gravità dei problemi informatici. Gli sviluppatori di PHP hanno pubblicato gli aggiornamenti correttivi il 21 ottobre 2026, un giorno prima rispetto alla data inizialmente prevista.

Il primo problema compare quando una richiesta consuma tutta la memoria assegnata: PHP può interrompere l’elaborazione lasciando incompleti alcuni dati interni, ma continuando a considerarli affidabili. L’altra vulnerabilità riguarda invece un riferimento rimasto attivo dopo la liberazione della memoria. Un’operazione successiva può così utilizzare informazioni residue, danneggiare la memoria e favorire l’esecuzione di codice o l’accesso a dati riservati.

PHP viene impiegato sui server per costruire le pagine, gestire gli accessi e dialogare con i database. Secondo W3Techs, il linguaggio è riconoscibile nel 69,3% dei siti analizzati. La percentuale dei sistemi realmente esposti, tuttavia, varia in base alla versione installata, alle impostazioni adottate e agli aggiornamenti già presenti.

L’impatto può estendersi ai siti più diffusi

Poiché il difetto risiede nel funzionamento interno di PHP, non è necessariamente legato a un errore nel codice scritto dal singolo gestore. Il problema può quindi interessare applicazioni diverse, comprese quelle costruite con WordPress, Drupal e Joomla, piattaforme usate per siti informativi, pubblicazioni digitali e negozi online.

I ricercatori hanno riprodotto attacchi capaci di eseguire codice su installazioni di WordPress e Drupal. Il Centro olandese per la cybersicurezza ha diffuso indicazioni per riconoscere i sistemi potenzialmente vulnerabili e applicare le correzioni. La presenza di traffico anomalo non dimostra però da sola che un server sia stato violato: per stabilirlo servono controlli mirati sui sistemi interessati.

Cloudflare ha dichiarato di avere attivato filtri per bloccare tentativi di sfruttamento rivolti ai suoi clienti. Le osservazioni sul traffico hanno confermato attività sospette, ma il testo non indica una compromissione generalizzata dei server protetti dal servizio.

La corsa alla scoperta dei difetti

Una delle indagini è stata condotta da Calif, società che studia le vulnerabilità informatiche. Il ricercatore Ryan A. ha iniziato a esaminare PHP il 30 luglio e, l’11 agosto, ha segnalato un metodo concreto per eseguire codice a distanza, lavorando anche con il supporto di GPT-5.6 Sol, modello di OpenAI.

Il progetto faceva parte di Patch the Planet, iniziativa di OpenAI dedicata all’analisi di programmi molto diffusi e al coordinamento delle correzioni. Nello stesso giorno anche i ricercatori di OpenAI hanno comunicato un problema riconducibile alla medesima origine tecnica. Il percorso ha coinvolto manutentori di PHP, specialisti di sicurezza e fornitori di servizi internet.

Un’indagine separata è stata portata avanti da Wiz, azienda attiva nella protezione dei sistemi informatici ospitati nella nube. La società ha avvertito i responsabili del progetto il 24 agosto, usando Wiz Atlas insieme a GPT-5.6 Sol e Gemini 4 Argon di Google. Secondo la ricostruzione tecnica di Wiz, Gemini ha contribuito alla localizzazione dei difetti, alla costruzione delle prove d’attacco e al controllo delle soluzioni adottate.

Correzioni disponibili e ritardi passati

Le versioni aggiornate indicate dal progetto sono PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12. Chi amministra un sito deve verificare il motore PHP installato sul server, controllare i pacchetti forniti dal proprio gestore e applicare gli aggiornamenti disponibili. Per i rami più vecchi possono esistere correzioni specifiche oppure può essere necessario pianificare il passaggio a una versione più recente. Anche Ubuntu ha annunciato interventi per le edizioni ancora supportate.

L’urgenza è aumentata il 20 ottobre, quando i codici identificativi delle due falle hanno cominciato a circolare in rete. Poco dopo è comparso per errore anche un filmato dimostrativo diffuso da Calif. Per consentire ai fornitori di preparare i pacchetti, la pubblicazione degli aggiornamenti è stata anticipata dal 22 al 21 ottobre.

La PHP Foundation ha spiegato che i primi segnali sul difetto legato all’esaurimento della memoria erano già emersi nel 2024, durante le attività successive a una verifica esterna. Le possibili soluzioni sollevavano problemi di compatibilità, prestazioni ed estensioni; la scarsità di specialisti e le difficoltà nel decidere la strategia hanno rallentato l’intervento. L’organizzazione ha definito quel ritardo un fallimento strutturale.

L’intelligenza artificiale accelera entrambe le parti

Le dimostrazioni realizzate nell’agosto 2026 hanno mostrato che una debolezza considerata difficile da sfruttare poteva essere trasformata in una procedura concreta. I modelli di intelligenza artificiale hanno aiutato gli esperti a leggere il codice, formulare ipotesi e ripetere le verifiche su configurazioni differenti.

La stessa capacità può però essere utilizzata anche da chi prepara attacchi. Il caso PHP2Shell riapre così il confronto sulla disponibilità dei modelli avanzati, dopo il via libera dato dalla Casa Bianca nel luglio scorso alla diffusione della famiglia GPT-5.6, precedentemente sottoposta a limitazioni legate alla sicurezza. Le scelte sulle correzioni e sulla loro distribuzione sono rimaste comunque affidate agli sviluppatori di PHP.