Le vulnerabilità PHP2Shell consentono il controllo dei server web senza login; CISA, NSA e FBI statunitensi avvertono di applicare immediatamente le patch o spegnere i server

WASHINGTON

Nel linguaggio di programmazione PHP, ampiamente utilizzato nei siti web e nei server di applicazioni web, sono state scoperte due vulnerabilità critiche che consentono l'esecuzione di comandi sul server senza autenticazione, spingendo la Cybersecurity and Infrastructure Security Agency (CISA), la National Security Agency (NSA) e il Federal Bureau of Investigation (FBI) degli Stati Uniti a sollecitare in successione l'applicazione immediata delle patch. Dal 21 al 23 ottobre (ora statunitense), le tre agenzie hanno segnalato le vulnerabilità contrassegnate dai codici CVE-2026-109618 e CVE-2026-109619 rispettivamente tramite allerte, comunicati stampa e un avviso di pubblica utilità (PSA). Comune a tutte e tre è stata la raccomandazione rivolta alle organizzazioni che non possono eseguire un aggiornamento immediato di disconnettere i sistemi interessati dalla rete.

La CISA afferma che le vulnerabilità «php2shell» consentono l'esecuzione di codice remoto non autenticata

In un'allerta diffusa il 21 ottobre, la CISA ha dichiarato che le due vulnerabilità, denominate «php2shell», consentono l'esecuzione di codice remoto non autenticata in PHP. Sono interessate tutte le installazioni PHP che elaborano richieste web. La CISA ha citato come esempi la combinazione di Apache con mod_php, PHP-FPM, php-cgi, FrankenPHP e LiteSpeed. Tra queste, la combinazione mod_php è stata classificata dagli sviluppatori di PHP come a massimo rischio, ha aggiunto la CISA.

Le versioni corrette sono PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. La CISA ha dichiarato che le organizzazioni devono aggiornare tempestivamente a queste versioni. Tuttavia, l'agenzia ha precisato che, al momento della pubblicazione dell'allerta, non erano stati osservati attacchi riusciti che sfruttassero tali vulnerabilità in condizioni reali. Lo stesso giorno, l'account X CISA Cyber ha pubblicato i codici delle due vulnerabilità avvisando le organizzazioni della necessità di applicare subito le patch.

La CISA ha aggiornato l'allerta il 23 ottobre, aggiungendo regole di rilevamento SIGMA per individuare attività sospette e integrando materiale proveniente da agenzie partner. Tra la documentazione dei partner figurano le linee guida del National Cyber Security Centre del Regno Unito, dell'Australian Cyber Security Centre sotto l'Australian Signals Directorate, del National Cyber Security Centre della Nuova Zelanda, del Canadian Centre for Cyber Security e del National Cyber Security Centre dei Paesi Bassi.

Lo stesso giorno, anche l'NSA ha diramato un'allerta tramite un comunicato stampa separato.

L'NSA avverte che gli attori informatici potrebbero con alta probabilità militarizzare le vulnerabilità

Nel comunicato stampa del 21 ottobre, l'NSA ha reso noto che gli sviluppatori di PHP hanno rilasciato patch open source in quella stessa giornata (mercoledì). L'NSA ha ricordato che PHP (acronimo di «PHP: Hypertext Preprocessor») opera sulla maggior parte dei principali sistemi operativi, viene eseguito direttamente sui server web ed è incorporato nell'HTML per creare pagine web dinamiche. Data la sua vastissima diffusione, l'NSA ha affermato che questa falla potrebbe creare un terreno particolarmente fertile per lo sfruttamento malevolo. L'NSA ha attribuito a questo gruppo di vulnerabilità il nome «PHP2Shell», precisando di considerare prioritaria l'identificazione degli attori informatici malevoli che cercano di sfruttarle.

L'NSA ha spiegato che un aggressore potrebbe assumere il controllo dei server web interessati senza alcun accesso preventivo o autenticazione. Attraverso questo percorso, ha aggiunto l'agenzia, è possibile sottrarre dati sensibili, interrompere i servizi o penetrare più a fondo nella rete. L'NSA ha precisato che le vulnerabilità risiedono in difetti intrinseci di PHP e non nelle applicazioni ospitate o nelle configurazioni, lasciando esposti agli attacchi i server che eseguono le versioni interessate di PHP.

L'NSA, responsabile della sicurezza nazionale degli Stati Uniti, ha dichiarato che «gli attori informatici militarizzeranno con ogni probabilità le vulnerabilità PHP2Shell». A causa della gravità del rischio, ha inoltre indicato la necessità di applicare le patch con urgenza in tutti i dipartimenti e le agenzie del governo federale statunitense. L'NSA ha raccomandato di vigilare con attenzione nelle prossime settimane sui dispositivi e sui servizi esposti a Internet che dipendono da PHP, di potenziare le attività di logging e di sostituire i servizi PHP giunti a fine ciclo di vita (EOL) incompatibili con le patch. Anche l'account di cybersicurezza dell'NSA ha condiviso questo avviso su X nello stesso giorno.

Nel post, l'NSA ha spiegato che queste vulnerabilità offrono spesso un accesso diretto al file system o ai database del server. Ha raccomandato di disconnettere i sistemi dalla rete qualora non sia possibile un aggiornamento immediato, preannunciando la pubblicazione a breve di linee guida dettagliate.

L'NSA ha consigliato di monitorare attentamente gli aggiornamenti, sottolineando che anche altri fornitori di software potrebbero rilasciare patch non appena pronte, e ha indicato che le più recenti linee guida di mitigazione sono consultabili sulla pagina degli avvisi di sicurezza degli sviluppatori di PHP. L'NSA ha dichiarato che collaborerà con la comunità di intelligence, la CISA e altri esperti per individuare e risolvere le vulnerabilità nei sistemi governativi e di sicurezza nazionale.

La CISA chiede un inventario completo dei sistemi che utilizzano PHP

La CISA ha anzitutto richiesto alle organizzazioni di censire tutti i sistemi in cui è in esecuzione PHP all'interno dei propri ambienti. Spesso PHP è integrato all'interno di altri software e potrebbe non risultare evidente a prima vista, ha fatto notare l'agenzia. La CISA ha quindi esortato ad applicare tempestivamente le patch a partire dai sistemi esposti a Internet. Le organizzazioni che non possono eseguire l'aggiornamento immediato o che continuano a utilizzare versioni non più supportate come PHP 8.1 o precedenti devono disconnettere i sistemi basati su PHP dalla rete fino al completamento dell'applicazione delle patch o dell'aggiornamento.

La CISA ha esortato a consultare gli avvisi di sicurezza ufficiali degli sviluppatori di PHP per verificare le istruzioni relative alle patch. I firewall per applicazioni web possono offrire una protezione parziale in attesa dell'aggiornamento dei sistemi, ha indicato la CISA. L'agenzia ha inoltre raccomandato di monitorare le attività sospette, come i processi di lavoro di PHP che avviano shell di comando o scaricano strumenti.

Il 23 ottobre l'FBI ha diramato l'avviso di pubblica utilità I-102326-PSA, a seguito del post pubblicato sui social network il 21 ottobre. L'FBI ha spiegato che PHP è un linguaggio di programmazione ampiamente utilizzato che alimenta siti e applicazioni web, e che le due vulnerabilità potrebbero consentire ad attori informatici malevoli di eseguire codice da remoto nel core di PHP, mettendo a repentaglio dati sensibili e reti. La Cyber Division dell'FBI aveva diffuso la notizia su X il 21 ottobre.

L'FBI ha reso noto che gli aggiornamenti di sicurezza sono già disponibili e devono essere applicati immediatamente. Nell'identificare la presenza di PHP, l'FBI ha chiesto di dare priorità ai sistemi esposti a Internet e ai prodotti commerciali che integrano PHP, invitando a monitorare i server web per individuare processi PHP che avviino inaspettatamente shell di comando o scarichino file. L'FBI ha indicato che le informazioni più recenti sono reperibili nelle comunicazioni degli sviluppatori di PHP, nell'avviso di sicurezza 2026-018 di CERT-EU dell'Unione Europea e nel catalogo Known Exploited Vulnerabilities (KEV) della CISA. L'FBI ha esortato le aziende e i gestori di siti web a verificare se i propri sistemi siano vulnerabili. In presenza di segnali di compromissione, ha invitato a isolare i sistemi interessati, a conservare i log del server web e di PHP e a segnalare l'accaduto alla sede locale dell'FBI o su ic3.gov. L'FBI ha specificato che tali segnalazioni aiutano le autorità a individuare i responsabili e ad allertare altre organizzazioni prima che subiscano danni.

Fonti (KST)

• CISA degli Stati Uniti, «Critical Vulnerabilities in PHP Require Immediate Patching» (pubblicato il 21 ottobre 2026, aggiornato il 23 ottobre): https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching
• National Security Agency (NSA) degli Stati Uniti, «NSA Advisory: Critical Patches Recommended for PHP Vulnerabilities» (21 ottobre 2026): https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/4630238/nsa-advisory-critical-patches-recommended-for-php-vulnerabilities/
• Federal Bureau of Investigation (FBI) degli Stati Uniti, «Critical Vulnerability Alert: PHP Core» (avviso di pubblica utilità I-102326-PSA, 23 ottobre 2026): https://www.fbi.gov/investigate/cyber/alerts/2026/critical-vulnerability-alert-php-core
• Post su X dell'account CISA Cyber: https://x.com/CISACyber/status/2112947079458717969
• Post su X dell'account di cybersicurezza dell'NSA: https://x.com/NSACyber/status/2112903220209098897
• Post su X della Cyber Division dell'FBI: https://x.com/FBICyberDiv/status/2112921648252719420