Falle critiche in PHP: attacchi iniziati quattro giorni prima della patch

Amazon Web Services ha individuato un tentativo di attacco contro le due vulnerabilità critiche di PHP già il 17 ottobre, quattro giorni prima che le falle fossero rese pubbliche insieme alle correzioni. Secondo l'azienda, oggi i difetti sono sfruttati su larga scala.

• AWS ha rilevato un tentativo di attacco il 17 ottobre, prima della divulgazione.
• Le due falle PHP2Shell hanno gravità 9,2 su 10 e sono state corrette il 21 ottobre.
• Il difetto è nel motore PHP: anche siti aggiornati restano esposti se il server non è stato corretto.

Cosa è successo

Il 21 ottobre 2026 il progetto PHP ha pubblicato le correzioni per due vulnerabilità critiche del linguaggio, identificate dalle sigle CVE-2026-109618 e CVE-2026-109619 e riunite sotto il nome PHP2Shell. Entrambe hanno un punteggio di gravità CVSS 4.0 pari a 9,2 su 10: in determinate condizioni permettono di leggere informazioni sensibili dalla memoria o di eseguire codice sul server senza possedere credenziali.

PHP è il linguaggio di programmazione usato per far funzionare moltissimi siti e applicazioni web: secondo i dati W3Techs citati da AI4Business, al 21 ottobre risultava impiegato dal 69,3% dei siti di cui è identificabile la tecnologia server. La pubblicazione delle patch ha scatenato una corsa agli aggiornamenti, con alcuni governi europei che, stando ad Ars Technica, hanno preferito mettere offline i siti in attesa di correggerli.

Nella ricerca pubblicata mercoledì sera, AWS racconta di aver trovato tracce di uno sfruttamento già il 17 ottobre, mentre la vulnerabilità era ancora sotto embargo, su uno dei suoi honeypot, cioè server volutamente vulnerabili usati come esca per studiare le tecniche di attacco. Il tentativo proveniva da un indirizzo IP collegato a una rete commerciale di anonimizzazione. CJ Moses, responsabile della sicurezza informatica di AWS, scrive che non è chiaro come l'attaccante avesse ottenuto le informazioni prima della divulgazione. La direttrice esecutiva della PHP Foundation, Elizabeth Barron, ha detto a Wired che l'organizzazione non era a conoscenza della ricerca e che, per quanto ne sa, non ci sono stati tentativi riusciti di esecuzione di codice da remoto.

Perché da una patch nasce subito un exploit

PHP2Shell colpisce il motore che interpreta il codice PHP, non le singole applicazioni. Significa che un sito con software e plugin aggiornati può restare comunque vulnerabile se il server continua a usare una versione di PHP non corretta. I ricercatori di Wiz hanno dimostrato lo sfruttamento su installazioni di WordPress, Drupal e Joomla; Calif documenta prove anche su Magento e Nextcloud.

Le falle sono state individuate con l'aiuto di modelli di intelligenza artificiale, dopo essere rimaste nascoste per oltre un decennio. Secondo AWS, proprio l'IA sta accorciando i tempi tra la pubblicazione di una correzione e la comparsa di un exploit funzionante: analizzare le differenze introdotte da una patch costa meno fatica, così anche attori poco esperti possono muoversi in poche ore o minuti.

Perché conta

Chi gestisce un portale aziendale, un e-commerce o un servizio online deve verificare non solo il sito, ma la versione di PHP installata sul server, spesso in mano a un fornitore di hosting. Un attacco riuscito può portare al furto di password, chiavi e token, alla modifica dei contenuti o all'uso del server per colpire altri sistemi. La vicenda mostra anche che il modello attuale di divulgazione coordinata delle vulnerabilità, pensato per dare tempo agli amministratori, regge meno bene ora che l'analisi assistita dall'IA accelera entrambi i lati della partita.

Edizione della sera · 23 ottobre 2026

Questa notizia è nel notiziario in video

▶ Guarda il ReelApri su Instagram