AnswersPublished22 sources
PHP2Shell: le falle critiche in PHP e le versioni corrette
PHP2Shell indica due vulnerabilità in PHP, CVE 2026 109618 e CVE 2026 109619, entrambe valutate 9,2 e potenzialmente sfruttabili per eseguire codice da remoto senza autenticazione. Le correzioni sono state pubblicate il 21 ottobre 2026, prima della divulgazione prevista, dopo che gli identificativi CVE erano circola...
Pubblicato daModificato con GPT-6 LunaImmagini generate con GPT Image 2
Research answer
Key takeaways
- PHP2Shell indica due vulnerabilità in PHP, CVE 2026 109618 e CVE 2026 109619, entrambe valutate 9,2 e potenzialmente sfruttabili per eseguire codice da remoto senza autenticazione.
- Le correzioni sono state pubblicate il 21 ottobre 2026, prima della divulgazione prevista, dopo che gli identificativi CVE erano circolati online.
- Sono stati rilevati tentativi di attacco, ma i dati disponibili non dimostrano che ogni tentativo sia riuscito né forniscono un conteggio complessivo dei sistemi compromessi.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What does the October 22, 2026 report reveal about the PHP2Shell vulnerabilities CVE-2026-109618 and CVE-2026-109619, including their 9.2 se. Article summary: The October 22 coverage describes PHP2Shell as an urgent patching crisis: CVE-2026-109618 and CVE-2026-109619 were rated 9.2 and could allow remote attackers to execute code without authentication, prompting emergency up. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
PHP2Shell è il nome dato a due vulnerabilità critiche nel runtime PHP: CVE-2026-109618 e CVE-2026-109619. Entrambe hanno ricevuto un punteggio CVSS v4.0 di 9,2 su 10 e potrebbero consentire a un aggressore non autenticato di eseguire codice da remoto su un server vulnerabile. PHP ha pubblicato le correzioni il 21 ottobre 2026, dopo che informazioni sulle falle erano emerse prima della divulgazione programmata. Poco dopo sono arrivate segnalazioni di tentativi di attacco: un tentativo rilevato, però, non equivale alla prova di una compromissione riuscita. 1
3
14
Cosa fanno le due vulnerabilità
Le falle riguardano la gestione delle richieste e della memoria da parte di PHP, non una specifica applicazione o un particolare framework. CVE-2026-109618 è legata alla gestione di una condizione di esaurimento della memoria; CVE-2026-109619 coinvolge invece uno stato interno non aggiornato correttamente. Il rischio segnalato è l’esecuzione di codice da remoto senza autenticazione. 1
14
Per questo conta la versione del runtime PHP anche quando non sono note vulnerabilità nel codice del sito. Le indicazioni operative includono le installazioni PHP che gestiscono richieste web. 55
Le versioni PHP corrette
PHP ha pubblicato gli aggiornamenti di sicurezza il 21 ottobre 2026. Le versioni indicate come corrette sono:
Chi utilizza una versione precedente di uno di questi rami dovrebbe aggiornare alla corrispondente versione corretta. Le falle dovevano essere rese pubbliche il 22 ottobre, ma la diffusione anticipata di dettagli ha portato a pubblicare le correzioni un giorno prima. 3
13
33
Gli identificativi CVE sono circolati prima del previsto
Il 20 ottobre un post su Hacker News ha menzionato i due identificativi CVE e anticipato che i dettagli sarebbero stati divulgati il 22 ottobre. Il post è stato rimosso, ma le schermate avevano già iniziato a circolare. Ricercatori di sicurezza hanno poi riferito che le informazioni erano autentiche e soggette a embargo. 3
Secondo le ricostruzioni, Calif ha individuato una falla con l’aiuto di un modello di OpenAI. Wiz ha inoltre scoperto e segnalato in modo indipendente le vulnerabilità, nell’ambito della risposta coordinata. Le informazioni disponibili non chiariscono quale gruppo abbia scoperto ciascuna CVE e non confermano che le falle fossero presenti da circa vent’anni. 27
33
Servizi interrotti e indicazioni ufficiali
Alcune organizzazioni hanno sospeso temporaneamente dei servizi per precauzione mentre valutavano il rischio. Tra i servizi citati nelle notizie ci sono quelli collegati al ministero delle Finanze giapponese, alla piattaforma per le risorse umane BambooHR, al porto di Rotterdam e a Wikimedia. Un’interruzione precauzionale, da sola, non dimostra che un’organizzazione sia stata violata. 19
La CISA, l’agenzia statunitense per la cybersicurezza e la sicurezza delle infrastrutture, ha invitato le organizzazioni con siti basati su PHP ad applicare subito le correzioni. 33 Le notizie disponibili non forniscono un conteggio completo dei servizi sospesi né confermano tutte le segnalazioni relative a ospedali, scuole e uffici pubblici.
I tentativi rilevati: cosa dimostrano e cosa no
Le segnalazioni riguardano attività osservate sia prima sia dopo la divulgazione pubblica:
- Amazon ha dichiarato che il suo honeypot MadPot ha rilevato un tentativo di sfruttamento il 17 ottobre, prima della pubblicazione delle correzioni. Un honeypot è un sistema-esca usato per osservare attività ostili: il dato prova un tentativo contro quel sensore, non una compromissione riuscita altrove.
50
58
- Cloudflare ha segnalato migliaia di tentativi nelle dieci ore precedenti l’annuncio pubblico e milioni dopo la divulgazione. Sono conteggi di tentativi osservati sulla sua rete, non di server violati.
36
- Al momento del suo avviso, la CISA ha detto di non aver osservato sfruttamenti. La dichiarazione descrive ciò che l’agenzia aveva rilevato in quel momento e non smentisce le osservazioni di fornitori che si basavano su telemetria diversa.
- Sophos ha corretto una precedente segnalazione di compromissioni riuscite nei sistemi dei clienti: secondo la revisione, i suoi dati mostravano scansioni e pochi tentativi falliti, senza prove di compromissioni riuscite nei propri ambienti al momento dell’aggiornamento.
7
Nel complesso, questi elementi giustificano un intervento urgente: sono stati osservati tentativi e il potenziale impatto è grave. Non dimostrano però che ogni tentativo sia riuscito, né permettono di stabilire quanti sistemi siano stati compromessi in totale.
Cosa non è possibile concludere
Le informazioni disponibili non forniscono un conteggio affidabile dei server vulnerabili esposti su Internet, non verificano che le falle esistessero da circa vent’anni e non dimostrano che gli aggressori abbiano usato l’intelligenza artificiale per sviluppare exploit contro PHP2Shell. L’uso di un modello di OpenAI è stato riferito nel contesto della scoperta; non è una prova di come gli aggressori abbiano individuato o sfruttato le vulnerabilità. 27
33
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell: le falle critiche in PHP e le versioni corrette"?
PHP2Shell indica due vulnerabilità in PHP, CVE 2026 109618 e CVE 2026 109619, entrambe valutate 9,2 e potenzialmente sfruttabili per eseguire codice da remoto senza autenticazione.
What are the key points to validate first?
PHP2Shell indica due vulnerabilità in PHP, CVE 2026 109618 e CVE 2026 109619, entrambe valutate 9,2 e potenzialmente sfruttabili per eseguire codice da remoto senza autenticazione. Le correzioni sono state pubblicate il 21 ottobre 2026, prima della divulgazione prevista, dopo che gli identificativi CVE erano circolati online.
What should I do next in practice?
Sono stati rilevati tentativi di attacco, ma i dati disponibili non dimostrano che ogni tentativo sia riuscito né forniscono un conteggio complessivo dei sistemi compromessi.