AnswersPublished24 sources
PHP2Shell mostra perché la sicurezza dell’open source ha bisogno di risorse stabili
PHP2Shell comprende due vulnerabilità che consentivano l’esecuzione remota di codice senza autenticazione, entrambe valutate 9,2. PHP è usato, secondo le stime riportate, da una quota fino al 70% dei siti web.
Pubblicato daModificato con GPT-6 LunaImmagini generate con GPT Image 2
Research answer
Key takeaways
- PHP2Shell comprende due vulnerabilità che consentivano l’esecuzione remota di codice senza autenticazione, entrambe valutate 9,2.
- PHP è usato, secondo le stime riportate, da una quota fino al 70% dei siti web. Le fonti disponibili non confermano però l’affermazione secondo cui al 23 ottobre sarebbero rimasti vulnerabili oltre 33 milioni di siste...
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What does the October 2026 PHP2Shell crisis reveal about PHP security and open-source underfunding, including PHP’s use by an estimated 70%. Article summary: PHP2Shell illustrates a mismatch between the importance of widely deployed open-source software and the capacity to secure, review and update it: critical PHP flaws triggered emergency patching across a technology report. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, click
PHP2Shell è stato un serio campanello d’allarme sulla sicurezza dei software usati su larga scala e sul lavoro necessario per mantenerli sicuri. Nell’ottobre 2026, due vulnerabilità critiche hanno portato al rilascio urgente di correzioni per PHP, un linguaggio che, secondo le stime riportate, è utilizzato da una quota fino al 70% dei siti web.11 L’episodio ha rilanciato una domanda più ampia: i progetti open source hanno risorse sufficienti per controllare, correggere e mantenere software da cui dipende una parte così grande del web?
22
Che cosa è successo con PHP2Shell
Le vulnerabilità, identificate come CVE-2026-109618 e CVE-2026-109619, potevano consentire a un aggressore non autenticato di eseguire codice da remoto sui sistemi PHP interessati. Le fonti hanno attribuito a entrambe un punteggio di gravità pari a 9,2.9
17 Si trattava di difetti nel runtime di PHP: la loro scoperta non significa che ogni applicazione PHP fosse insicura.
Il 21 ottobre 2026 PHP ha pubblicato le versioni corrette 8.5.12, 8.4.27, 8.3.36 e 8.2.35.18
27 Nel resoconto della ricerca, Calif attribuisce la scoperta delle vulnerabilità a Calif, OpenAI e Wiz.
15 Le cronache hanno inoltre riferito di una rottura nella procedura di divulgazione coordinata: i manutentori di PHP hanno accusato Chainguard di aver diffuso informazioni prima del rilascio concordato, dopo di che il progetto ha pubblicato le patch in anticipo.
35
37
La diffusione di PHP aiuta a capire perché l’allarme sia stato così urgente. Le notizie ne stimano l’utilizzo fino al 70% dei siti web, ma si tratta di una stima della sua diffusione, non del numero di siti vulnerabili o compromessi.11 Le fonti disponibili, inoltre, non confermano l’affermazione specifica secondo cui l’EFF avrebbe stimato che al 23 ottobre fossero ancora vulnerabili oltre 33 milioni di sistemi.
I tentativi di attacco non provano che ci siano state violazioni riuscite
Secondo quanto riferito, Amazon ha rilevato un tentativo di sfruttamento il 17 ottobre, prima della pubblicazione delle patch, e in seguito ha descritto tentativi su vasta scala.34 Altre notizie hanno parlato di milioni di tentativi.
6 Separatamente, alcune cronache hanno documentato spegnimenti precauzionali mentre le organizzazioni affrontavano le vulnerabilità, anche per servizi associati al ministero delle Finanze giapponese e al porto di Rotterdam.
12
Ma un tentativo di sfruttamento non equivale a una compromissione confermata. Il 22 ottobre la BBC ha riferito che non risultavano sfruttamenti riusciti; il 23 ottobre anche Security Affairs ha scritto che non erano stati confermati casi di successo.9
31 Le differenze possono dipendere dal periodo osservato o dal significato attribuito al termine «sfruttamento». Le prove citate giustificano la preoccupazione per l’attività di attacco, ma non la conclusione che milioni di sistemi siano stati violati con successo.
La lezione per la sicurezza open source: scoprire il problema non basta
PHP2Shell mostra quanto sia importante individuare difetti anche nel software di base di progetti maturi. Ma la scoperta è soltanto una fase: le correzioni devono essere esaminate e pubblicate, e chi gestisce i sistemi deve identificare quelli interessati e installare gli aggiornamenti. Sovereign Tech ha presentato esplicitamente l’incidente come un segnale della carenza di finanziamenti per la sicurezza del software open source critico.22
La questione centrale, quindi, è la capacità di sostenere il lavoro di sicurezza, non soltanto il numero di bug individuati. Più vulnerabilità scoperte possono aumentare il carico per manutentori e difensori, ma un aumento segnalato delle vulnerabilità non dimostra, da solo, che il software stia diventando meno sicuro o che la causa sia l’IA. Trovare un difetto non fornisce automaticamente le persone necessarie per verificarlo, coordinare la divulgazione o distribuire e installare una correzione affidabile.
La conclusione più prudente non è che PHP sia insicuro per sua natura. È che un software usato in gran parte del web richiede controlli di sicurezza e manutenzione continui; quando le vulnerabilità vengono individuate più rapidamente, quel lavoro diventa ancora più urgente.11
22
Cosa dovrebbero fare gli amministratori di sistemi PHP
Per le organizzazioni che usano PHP, i passaggi pratici sono:
- Fare l’inventario dei sistemi esposti a Internet. Individuare i servizi che usano PHP e registrare la versione effettivamente in esecuzione.
- Installare la correzione appropriata. Usare la versione corretta per il ramo PHP in uso oppure seguire indicazioni verificate del fornitore, se il runtime è distribuito o mantenuto da terzi. PHP ha pubblicato le versioni corrette il 21 ottobre.
18
27
- Verificare il servizio in esecuzione. Controllare che i processi e i servizi attivi usino il runtime aggiornato; le indicazioni operative pubblicate raccomandano di riavviare i processi PHP dopo l’aggiornamento.
32
- Descrivere l’incidente con precisione. Distinguere tra sistemi interessati, tentativi di attacco, compromissioni confermate e affermazioni non verificate. Traffico sospetto e spegnimenti precauzionali non dimostrano che un sistema sia stato violato.
La lezione duratura di PHP2Shell riguarda l’intera catena di sicurezza: scoperta, revisione, divulgazione coordinata, rilascio delle patch e installazione sono tutti passaggi essenziali. Finanziare la manutenzione che li rende possibili è parte della protezione delle infrastrutture open source critiche, non un extra facoltativo.22
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell mostra perché la sicurezza dell’open source ha bisogno di risorse stabili"?
PHP2Shell comprende due vulnerabilità che consentivano l’esecuzione remota di codice senza autenticazione, entrambe valutate 9,2.
What are the key points to validate first?
PHP2Shell comprende due vulnerabilità che consentivano l’esecuzione remota di codice senza autenticazione, entrambe valutate 9,2. PHP è usato, secondo le stime riportate, da una quota fino al 70% dei siti web. Le fonti disponibili non confermano però l’affermazione secondo cui al 23 ottobre sarebbero rimasti vulnerabili oltre 33 milioni di siste...