AnswersPublished25 sources
PHP2Shell: cosa è successo e perché gli aggiornamenti erano urgenti
PHP ha pubblicato il 21 ottobre 2026 aggiornamenti d’emergenza per CVE 2026 109618 e CVE 2026 109619, due falle classificate con punteggio CVSS 9,2 che potevano consentire l’esecuzione remota di codice senza login. Calif ha individuato le vulnerabilità nell’ambito del progetto Patch the Planet di OpenAI; Wiz le ha s...
Pubblicato daModificato con GPT-6 LunaImmagini generate con GPT Image 2
Research answer
Key takeaways
- PHP ha pubblicato il 21 ottobre 2026 aggiornamenti d’emergenza per CVE 2026 109618 e CVE 2026 109619, due falle classificate con punteggio CVSS 9,2 che potevano consentire l’esecuzione remota di codice senza login.
- Calif ha individuato le vulnerabilità nell’ambito del progetto Patch the Planet di OpenAI; Wiz le ha scoperte in modo indipendente.
- Le correzioni sono disponibili per PHP 8.2, 8.3, 8.4 e 8.5. PHP 8.1 e le versioni precedenti non ricevono più aggiornamenti di sicurezza ordinari dal progetto PHP, anche se alcuni distributori possono fornire correzio...
- Sono state segnalate istanze potenzialmente esposte e tentativi di sfruttamento, anche prima della divulgazione pubblica; questi dati non dimostrano, da soli, che siano avvenute compromissioni su larga scala.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What happened during the October 2026 PHP2Shell security crisis, including the AI assisted discovery of CVE 2026 109618 and CVE 2026 109619. Article summary: PHP2Shell prompted emergency PHP security releases on October 21, 2026, after early disclosure disrupted the planned October 22 release; the two flaws could allow unauthenticated remote code execution.. Topic tags: general web, openai, prompt engineering, ai, code. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numb
PHP2Shell è il nome dato a due vulnerabilità nel motore di PHP, il linguaggio usato da molti siti e servizi web. Il 21 ottobre 2026 il progetto PHP ha rilasciato patch d’emergenza: le falle potevano permettere a un attaccante di eseguire codice su un server senza autenticarsi. Entrambe hanno ricevuto un punteggio CVSS 4.0 di 9,2, nella fascia critica. 3
9
10
Il punto essenziale è distinguere il rischio potenziale dalle violazioni accertate. Le segnalazioni di server esposti e di tentativi di attacco hanno reso urgente verificare e aggiornare le installazioni, ma le fonti disponibili non dimostrano che PHP2Shell abbia causato intrusioni diffuse o compromissioni su larga scala.
La scoperta con l’aiuto dell’intelligenza artificiale
Le vulnerabilità sono state individuate nell’agosto 2026. Calif ha lavorato nell’ambito di Patch the Planet, iniziativa di OpenAI per la ricerca di vulnerabilità; anche Wiz ha trovato e segnalato i problemi con una ricerca indipendente. 6
18
I resoconti indicano l’uso di GPT-5.6 Sol, Wiz Atlas e Gemini 4 Argon nelle attività di ricerca. In particolare, Calif viene associata a GPT-5.6 Sol, mentre un resoconto attribuisce a Wiz l’impiego di Atlas, Gemini 4 Argon e GPT-5.6 Sol. Le informazioni disponibili non precisano in modo affidabile quale strumento abbia individuato ciascuna delle due falle. 21
Che cosa potevano fare le due falle
- CVE-2026-109618 riguarda la corruzione della memoria in una condizione di esaurimento della memoria disponibile.
- CVE-2026-109619 è legata a uno stato globale obsoleto che può lasciare dati non validi nel processo PHP.
Entrambi i problemi potevano portare all’esecuzione remota di codice. In termini pratici, un aggressore avrebbe potuto inviare richieste appositamente costruite e, in determinate condizioni, eseguire comandi sul server senza prima accedere a un account. Le falle si trovavano nel runtime di PHP, non in un singolo plugin o tema. 7
9
11
Le segnalazioni indicano come interessate le versioni PHP dalla 5.4 alla 8.5; il database di Wiz descrive l’ambito in modo più ampio, come PHP 5 e successivi. Le fonti disponibili non verificano in modo indipendente l’affermazione secondo cui il problema sarebbe rimasto presente per circa 14 anni. 1
2
La fuga di notizie e le patch anticipate
I dettagli sono emersi il 20 ottobre, prima della data prevista per la pubblicazione coordinata. PHP ha quindi anticipato il rilascio: le correzioni sono state rese disponibili il 21 ottobre, anziché il 22, data indicata nei resoconti come quella inizialmente pianificata. 2
7
24
Le versioni corrette sono:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
15
Il progetto PHP ha invitato ad aggiornare tutte le installazioni che gestiscono richieste web. PHP 8.1 e le versioni precedenti non ricevono più aggiornamenti di sicurezza ordinari dal progetto; alcune distribuzioni Linux e fornitori con supporto esteso possono comunque distribuire correzioni retroportate. Per chi gestisce un sistema non aggiornato, è quindi importante verificare la disponibilità di patch con il proprio distributore o fornitore.
Allerta delle autorità e dimensioni dell’esposizione
La NSA ha raccomandato di fare l’inventario dei servizi che dipendono da PHP e di dare priorità alle patch dei fornitori. Anche CISA ha invitato le organizzazioni ad aggiornare subito; Google, AWS e Microsoft hanno pubblicato indicazioni per i propri clienti. 17
18
3
Le stime hanno contribuito a spiegare la rapidità della risposta. TechTarget ha riportato una stima secondo cui PHP è alla base di circa il 70% del web e ha riferito che Palo Alto Networks aveva individuato oltre 22,6 milioni di istanze esposte potenzialmente vulnerabili. Si tratta di una misura dell’esposizione possibile, non del numero di sistemi effettivamente violati; le fonti qui disponibili non confermano una stima più alta, pari al 75%. 23
Alcuni siti avrebbero temporaneamente interrotto il servizio per installare gli aggiornamenti. I resoconti disponibili, tuttavia, non identificano in modo sufficiente i singoli siti né quantificano l’impatto operativo di queste interruzioni.
Tentativi di sfruttamento: che cosa sappiamo
Amazon Threat Intelligence ha segnalato un tentativo osservato il 17 ottobre, quattro giorni prima della divulgazione pubblica; sono stati riportati anche altri tentativi nei giorni successivi. La segnalazione riguarda attività di attacco, non prova che il tentativo iniziale sia andato a buon fine. 4
Anche le valutazioni sulla possibile diffusione degli attacchi sono cambiate: il 22 ottobre Sansec ha scritto che lo sfruttamento di massa sembrava meno probabile di quanto temuto al momento del rilascio. Le fonti fornite non consentono di conciliare tutte le diverse affermazioni sugli attacchi riusciti. È quindi corretto distinguere tra tentativi rilevati, dimostrazioni tecniche e compromissioni confermate. 10
Un avviso successivo e altre affermazioni non verificate
Il 23 ottobre PHP ha segnalato un problema correlato, CVE-2026-115560, descritto come una via improbabile all’esecuzione remota di codice in presenza di una combinazione insolita di impostazioni e comportamento applicativo. Come misura temporanea, ha consigliato di impostare session.upload_progress.enabled=0 fino alla successiva versione regolare di correzione. La documentazione precisa che alcune applicazioni possono lasciare attiva la funzione se non modificano in esecuzione il gestore di serializzazione delle sessioni.
Alcuni dettagli circolati nel dibattito non sono sufficientemente corroborati dalle fonti disponibili: tra questi, la ricostruzione completa di una presunta carenza strutturale o di risorse della PHP Foundation nella gestione di un problema già noto nel 2024, l’esistenza di un verificatore di versioni PHP sviluppato da OpenAI e la promessa di un sussidio Daybreak da un miliardo di dollari. Le fonti supportano il ruolo dell’IA nella ricerca, ma non dimostrano che l’IA abbia favorito gli attaccanti più dei difensori o viceversa.
Nello stesso periodo sono state riportate anche notizie di sicurezza separate: Imperva ha mostrato una dimostrazione chiamata Node2Shell che coinvolgeva il decoder Brotli in Node.js; un riepilogo di incidenti menziona inoltre LiteLLM ed eMudhra. Sono eventi distinti da PHP2Shell, e i dettagli forniti non bastano a ricostruire in modo completo l’incidente LiteLLM o a verificare l’intera portata del caso eMudhra.
Per chi amministra siti o server, il messaggio più solido resta pratico: censire tutte le installazioni PHP esposte, verificare quale versione è in uso e applicare la correzione appropriata. Un server potenzialmente vulnerabile richiede attenzione immediata, ma la sua esposizione non equivale automaticamente a una violazione già avvenuta. 17
18
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell: cosa è successo e perché gli aggiornamenti erano urgenti"?
PHP ha pubblicato il 21 ottobre 2026 aggiornamenti d’emergenza per CVE 2026 109618 e CVE 2026 109619, due falle classificate con punteggio CVSS 9,2 che potevano consentire l’esecuzione remota di codice senza login.
What are the key points to validate first?
PHP ha pubblicato il 21 ottobre 2026 aggiornamenti d’emergenza per CVE 2026 109618 e CVE 2026 109619, due falle classificate con punteggio CVSS 9,2 che potevano consentire l’esecuzione remota di codice senza login. Calif ha individuato le vulnerabilità nell’ambito del progetto Patch the Planet di OpenAI; Wiz le ha scoperte in modo indipendente.
What should I do next in practice?
Le correzioni sono disponibili per PHP 8.2, 8.3, 8.4 e 8.5. PHP 8.1 e le versioni precedenti non ricevono più aggiornamenti di sicurezza ordinari dal progetto PHP, anche se alcuni distributori possono fornire correzio...
Sources
in.mashable.comGoogle, AWS & Microsoft Address PHP2Shell Vulnerability That Is Affecting 70% Of Internet
cyberkendra.comPHP2Shell: Critical PHP Flaws Allow Remote Code Execution
sansec.ioPHP2Shell: PHP RCE (CVE-2026-109618, CVE-2026-109619)
infosecurity-magazine.comPHP2Shell Exploitation Attempt Detected Four Days Before Disclosure