AnswersPublished33 sources
PHP2Shell, le due falle critiche in PHP: cosa rischiano i server e come proteggerli
PHP2Shell è il nome dato a due vulnerabilità nella gestione della memoria di PHP che, in determinate condizioni, possono consentire a un attaccante non autenticato di eseguire codice da remoto. Aggiorna il runtime PHP che gestisce le richieste web, oppure applica la correzione del fornitore se PHP è incluso in un pr...
Pubblicato daModificato con GPT-6 LunaImmagini generate con GPT Image 2
Research answer
Key takeaways
- PHP2Shell è il nome dato a due vulnerabilità nella gestione della memoria di PHP che, in determinate condizioni, possono consentire a un attaccante non autenticato di eseguire codice da remoto.
- Aggiorna il runtime PHP che gestisce le richieste web, oppure applica la correzione del fornitore se PHP è incluso in un prodotto, e verifica che il servizio stia effettivamente usando la versione corretta.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What are the PHP2Shell vulnerabilities CVE-2026-109618 and CVE-2026-109619, how do they enable unauthenticated remote code execution in PHP—. Article summary: PHP2Shell is the name given to two critical PHP memory-safety vulnerabilities, CVE-2026-109618 and CVE-2026-109619, that can permit unauthenticated remote code execution under suitable conditions; researchers rated them . Topic tags: general, general web, government, news. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with
PHP2Shell è il nome dato a due vulnerabilità critiche nel runtime di PHP: CVE-2026-109618 e CVE-2026-109619. In determinate condizioni, possono consentire a un attaccante non autenticato di eseguire codice su un server. Il 21 ottobre 2026 PHP ha pubblicato le correzioni nelle versioni 8.2.35, 8.3.36, 8.4.27 e 8.5.12.5
36 Per chi gestisce sistemi e siti, la priorità è aggiornare il runtime PHP che serve le richieste — o applicare la correzione del fornitore — e verificare che l’aggiornamento sia entrato in funzione.
Che cosa fanno le due vulnerabilità
Entrambe riguardano la sicurezza della gestione della memoria in PHP, non il codice di una specifica applicazione web. Le analisi descrivono percorsi che coinvolgono memoria non più valida o già liberata, attivati durante alcune operazioni del runtime.6
9
- CVE-2026-109618 riguarda un errore di tipo use-after-free nella gestione dell’avanzamento dei caricamenti (upload progress). Secondo Wiz, può esporre memoria di un processo PHP e, nelle condizioni dimostrate, contribuire alla corruzione della memoria e all’esecuzione di codice.
6
- CVE-2026-109619 interessa la gestione della memoria durante la creazione di backtrace in caso di errori fatali e l’OPcache, la cache che PHP usa per il codice compilato. L’avviso di PHP descrive uno stato interno non aggiornato che potrebbe essere riutilizzato da una richiesta successiva gestita dallo stesso processo.
36
Secondo le fonti citate, le vulnerabilità hanno un punteggio CVSS di 9,2.2
37 Wiz stima che PHP sia usato da circa il 70% del web: è una misura della diffusione della tecnologia, non la prova che il 70% dei siti sia vulnerabile allo stesso modo o sia stato compromesso.
6
Quali versioni di PHP sono coinvolte e quali correzioni installare
Le fonti indicano come vulnerabile l’intervallo da PHP 5.4 a PHP 8.5.11.56 Le versioni corrette pubblicate dal progetto PHP sono 8.2.35, 8.3.36, 8.4.27 e 8.5.12.
36 Se un sistema usa una versione precedente o non più supportata, verifica con il distributore di PHP o con il fornitore del prodotto se è disponibile un aggiornamento supportato o una correzione retroportata: non è detto che si possa passare semplicemente a una versione standard più recente.
17
54
Aggiornare il pacchetto PHP non basta necessariamente se un sito o un dispositivo usa un runtime separato o integrato nel prodotto. Individua quale installazione PHP gestisce davvero le richieste web e segui le istruzioni del fornitore per i prodotti che includono PHP.5
54
La scoperta è stata assistita dall’IA, ma le cronologie non coincidono
La ricerca è attribuita a Calif, OpenAI e Wiz, e le ricostruzioni della scoperta parlano di assistenza da parte di modelli di IA.4
16 Le fonti non concordano però sulle date: USA Today riferisce una prima scoperta di Calif a luglio e una scoperta indipendente di Wiz ad agosto; The Register colloca il lavoro dei ricercatori tra agosto e settembre.
4
47 Altre ricostruzioni menzionano anche modelli di Google, ma le informazioni disponibili non precisano il contributo esatto di ciascun modello né quanto lavoro sia stato svolto in autonomia.
50
La distinzione è importante: le fonti documentano una ricerca assistita dall’IA, non dimostrano che un sistema di IA abbia scoperto, verificato e corretto da solo entrambe le vulnerabilità. Nella scoperta e nella risposta sono stati coinvolti ricercatori e manutentori.4
16
Che cosa significa il collegamento con PAN-OS
Palo Alto Networks ha pubblicato un avviso sull’impatto delle due vulnerabilità sui propri prodotti, includendo tra le famiglie interessate PAN-OS.34
35 Questo, da solo, non dimostra che ogni installazione di PAN-OS sia esposta allo stesso percorso d’attacco di un server web che esegue PHP: contano la configurazione del prodotto e le correzioni rilasciate dal fornitore.
Gli amministratori dovrebbero consultare l’avviso aggiornato di Palo Alto Networks per verificare lo stato del proprio prodotto e della propria versione software, quindi seguire le istruzioni ufficiali. Non basarti su calendari di hotfix pubblicati da terzi per stabilire che una correzione sia disponibile: un tracker circolato online dichiara esplicitamente che le informazioni sullo stato dei fornitori sono generate dall’IA e vanno verificate.21
Tentativi di attacco non significa compromissione confermata
Secondo una fonte di threat intelligence, un tentativo di sfruttamento sarebbe stato registrato il 17 ottobre, prima della divulgazione tecnica pubblica e delle correzioni PHP del 21 ottobre.53 In seguito, il traffico segnalato da Cloudflare sarebbe passato da migliaia di tentativi a milioni, secondo Nextgov.
22 Queste cifre riguardano tentativi di attacco: non indicano il numero di server effettivamente violati.
Le notizie sui casi di sfruttamento riuscito non sono state uniformi. Il 22 ottobre la BBC riferiva che, fino a quel momento, non erano stati segnalati exploit riusciti.18 In seguito, Unit 42 di Palo Alto Networks ha dichiarato di non poter confermare che le attività inizialmente associate a PHP2Shell fossero causate da queste specifiche CVE, ritirando il proprio aggiornamento precedente.
30 Sulla base delle informazioni disponibili, sono stati segnalati tentativi di sfruttamento, ma non è chiaro se vi siano state violazioni riuscite attribuibili con certezza a PHP2Shell.
Secondo le ricostruzioni, governi e aziende hanno temporaneamente scollegato alcuni servizi online mentre preparavano o installavano le correzioni.26
51 Una sospensione precauzionale non dimostra che l’organizzazione sia stata violata.
Cosa fare, in pratica
- Individua ogni runtime PHP. Controlla siti web, server applicativi, container, ambienti di hosting e dispositivi. Chiedi ai fornitori di hosting o di servizi gestiti di confermare quale runtime è in uso e quale correzione si applica.
- Installa un aggiornamento verificato. Usa una versione corretta di PHP oppure un pacchetto del fornitore che includa le correzioni. Per dispositivi e software che integrano PHP, segui le istruzioni del produttore.
17
54
- Verifica il servizio effettivamente esposto sul web. Accertati che sia stato aggiornato il runtime che gestisce le richieste web, non soltanto un’installazione separata usata da riga di comando. Controlla anche che i processi o i servizi necessari siano stati riavviati e usino la versione corretta.
- Riduci l’esposizione se non puoi aggiornare subito. La NSA raccomanda di dare priorità alle correzioni del fornitore e di scollegare il sistema se non è possibile aggiornarlo tempestivamente.
25
- Tieni distinta l’indagine dalla correzione. L’aggiornamento elimina la vulnerabilità, ma non chiarisce se ci sia stata un’intrusione in precedenza. Se hai motivi per sospettare una compromissione, esamina i log e l’attività dei sistemi interessati.
Se gestisci un sito ma non il server, contatta il provider di hosting o l’amministratore e chiedi se il runtime PHP è stato aggiornato. Non installare correzioni ricevute tramite messaggi non richiesti: usa le istruzioni ufficiali del fornitore.
La distinzione essenziale è questa: un sistema può essere vulnerabile, un attaccante può tentare di sfruttarlo e il sistema può essere compromesso. Sono tre situazioni diverse. Aggiorna il runtime interessato, verifica con il fornitore le correzioni per prodotti come PAN-OS e valuta separatamente ogni sospetto di intrusione.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell, le due falle critiche in PHP: cosa rischiano i server e come proteggerli"?
PHP2Shell è il nome dato a due vulnerabilità nella gestione della memoria di PHP che, in determinate condizioni, possono consentire a un attaccante non autenticato di eseguire codice da remoto.
What are the key points to validate first?
PHP2Shell è il nome dato a due vulnerabilità nella gestione della memoria di PHP che, in determinate condizioni, possono consentire a un attaccante non autenticato di eseguire codice da remoto. Aggiorna il runtime PHP che gestisce le richieste web, oppure applica la correzione del fornitore se PHP è incluso in un prodotto, e verifica che il servizio stia effettivamente usando la versione corretta.