AnswersPublished23 sources
PHP2Shell: le due falle critiche di PHP e le versioni da installare
PHP2Shell è il nome dato a due vulnerabilità critiche di PHP, entrambe valutate 9,2 secondo CVSS v4.0, che possono consentire l’esecuzione di codice da remoto senza autenticazione. Le falle sono legate alla gestione dell’esaurimento della memoria e a uno stato interno obsoleto.
Pubblicato daModificato con GPT-6 LunaImmagini generate con GPT Image 2
Research answer
Key takeaways
- PHP2Shell è il nome dato a due vulnerabilità critiche di PHP, entrambe valutate 9,2 secondo CVSS v4.0, che possono consentire l’esecuzione di codice da remoto senza autenticazione.
- Le falle sono legate alla gestione dell’esaurimento della memoria e a uno stato interno obsoleto.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What are the PHP2Shell vulnerabilities CVE-2026-109618 and CVE-2026-109619, why are both rated 9.2 out of 10, how do they enable unauthentic. Article summary: PHP2Shell is the collective name for two critical PHP flaws, CVE-2026-109618 and CVE-2026-109619, reported to permit unauthenticated remote code execution; emergency fixes were released on October 21, 2026. [3][5] The av. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
PHP2Shell è il nome collettivo di due vulnerabilità critiche nel motore di PHP: CVE-2026-109618 e CVE-2026-109619. Entrambe hanno una valutazione di 9,2, Critica, secondo CVSS v4.0 e possono permettere a un aggressore non autenticato di eseguire codice su un server vulnerabile. Il progetto PHP ha rilasciato aggiornamenti d’emergenza il 21 ottobre 2026. 
Per chi gestisce sistemi PHP, la priorità è installare l’aggiornamento. I tentativi di sfruttamento segnalati, compresa un’attività rilevata da una rete honeypot di Amazon prima della divulgazione pubblica, sono un motivo per intervenire rapidamente; non dimostrano però che un sistema di produzione sia stato compromesso. 36
Cosa fanno le due vulnerabilità
Le falle hanno meccanismi descritti diversi:
- CVE-2026-109618 riguarda la gestione dell’esaurimento della memoria. In condizioni di memoria insufficiente, PHP può interrompere l’elaborazione quando alcuni dati interni della richiesta sono ancora inizializzati solo in parte. Durante la pulizia, il sistema può quindi trattare dati non validi come se lo fossero.
58
- CVE-2026-109619 riguarda uno stato interno non aggiornato. Secondo le descrizioni, alcune informazioni associate alla richiesta possono restare presenti anche dopo che la memoria che le conteneva è stata liberata: è il problema noto come use-after-free.
9
Le vulnerabilità riguardano il modo in cui PHP gestisce richieste HTTP appositamente costruite, comprese quelle in formato multipart/form-data, comunemente usato per caricare file. 1
Perché il punteggio è 9,2 e cosa non ci dice
Entrambe le falle sono classificate 9,2 su 10, Critiche, secondo CVSS v4.0. La possibilità di eseguire codice da remoto senza autenticazione è un elemento centrale del rischio: non serve accedere con un account per tentare di agire su un server esposto e vulnerabile.
Le fonti disponibili non riportano i vettori CVSS completi. Non consentono quindi di ricostruire con precisione come i singoli parametri producano il punteggio 9,2. La valutazione indica la gravità della vulnerabilità, ma da sola non stabilisce quanto sia probabile un attacco contro uno specifico server né se un tentativo rilevato abbia avuto successo.
Versioni interessate e aggiornamenti disponibili
Le segnalazioni indicano PHP 5.4 come punto di partenza dell’intervallo interessato. 55 Per i rami PHP 8.x sono stati pubblicati questi aggiornamenti d’emergenza:
| Ramo PHP | Versione corretta |
|---|---|
| 8.2 | 8.2.35 |
| 8.3 | 8.3.36 |
| 8.4 | 8.4.27 |
| 8.5 | 8.5.12 |
Le versioni sono state rilasciate il 21 ottobre 2026. Aggiorna almeno alla versione corretta del tuo ramo, o a una successiva dello stesso ramo.
Le correzioni elencate coprono i rami dalla versione 8.2 alla 8.5. Se il sistema utilizza un ramo più vecchio o non più supportato, consulta il distributore di PHP o il fornitore del sistema operativo per verificare quali correzioni e indicazioni siano applicabili: non dare per scontato che una delle versioni in tabella sia adatta.
Divulgazione e tentativi di attacco: non sono sinonimi di violazione
Le vulnerabilità sono diventate pubbliche il 20 ottobre, prima della divulgazione prevista per il 22. PHP ha pubblicato le correzioni d’emergenza il 21 ottobre. 8
42 Le fonti confermano la divulgazione anticipata e il rilascio delle patch con un giorno di anticipo, ma non dimostrano che la causa sia stata un video dimostrativo di Calif pubblicato per errore.
Amazon Threat Intelligence ha riferito di aver individuato nei dati del proprio honeypot MadPot un tentativo di sfruttamento risalente al 17 ottobre, quattro giorni prima della divulgazione pubblica. Amazon ha inoltre segnalato la comparsa di exploit proof-of-concept intorno al rilascio del 21 ottobre. I dati di un honeypot descrivono attività dirette contro un sistema-esca, non una compromissione accertata di un’organizzazione reale.
Cloudflare ha dichiarato di aver distribuito protezioni in prossimità della divulgazione e le notizie dell’epoca riportano traffico o tentativi di attacco osservati da fornitori di sicurezza. 55
35 Le valutazioni sulla portata e sul successo degli attacchi non erano concordi: alcuni fornitori parlavano di sfruttamento attivo o su larga scala, mentre altre cronache riferivano che le agenzie governative non avevano confermato attacchi riusciti.
33
36
Le informazioni giustificano una risposta tempestiva, ma non autorizzano a considerare ogni tentativo una violazione riuscita né a concludere che gli attacchi fossero diffusi. Quando si valutano l’esposizione e le segnalazioni di incidenti, è importante distinguere tra tentativo, exploit funzionante e compromissione confermata di un sistema di produzione.
Cosa fare nell’attesa di applicare la patch
La misura principale è installare una versione corretta di PHP. AWS indica l’aggiornamento come l’unica correzione completa. Se non è possibile intervenire subito, bloccare temporaneamente i caricamenti di file multipart può ridurre l’esposizione, ma non sostituisce l’aggiornamento.
Il Centro canadese per la cybersicurezza ha pubblicato un avviso critico che descrive le vulnerabilità e il rischio di esecuzione di codice senza autenticazione. 2 Le fonti riportano anche una raccomandazione della NSA di mettere offline i sistemi che non possono essere aggiornati immediatamente.
27 Segui le indicazioni del fornitore e gli avvisi ufficiali pertinenti alla tua installazione, soprattutto se PHP è incluso in un prodotto o gestito da un provider di hosting.
In pratica: individua dove viene eseguito PHP, applica l’aggiornamento corretto e valuta con attenzione gli eventuali alert. La gravità di PHP2Shell richiede urgenza, ma un tentativo, un exploit funzionante e una compromissione confermata sono tre cose diverse.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell: le due falle critiche di PHP e le versioni da installare"?
PHP2Shell è il nome dato a due vulnerabilità critiche di PHP, entrambe valutate 9,2 secondo CVSS v4.0, che possono consentire l’esecuzione di codice da remoto senza autenticazione.
What are the key points to validate first?
PHP2Shell è il nome dato a due vulnerabilità critiche di PHP, entrambe valutate 9,2 secondo CVSS v4.0, che possono consentire l’esecuzione di codice da remoto senza autenticazione. Le falle sono legate alla gestione dell’esaurimento della memoria e a uno stato interno obsoleto.