Il team di sicurezza di PHP rilascerà oggi, mercoledì 21 ottobre, alle 14:00 UTC (le 16:00 in Italia) un aggiornamento d’emergenza che corregge due vulnerabilità critiche, identificate come CVE-2026-109618 e CVE-2026-109619. Entrambe hanno un punteggio CVSS 4.0 di 9,2 su 10. Il CVSS (Common Vulnerability Scoring System) è la scala standard con cui si misura la gravità di una vulnerabilità. Secondo i ricercatori che le hanno esaminate, si tratta di falle di esecuzione di codice da remoto (RCE, Remote Code Execution): un attaccante potrebbe far eseguire al server comandi a sua scelta.

La correzione era inizialmente prevista per giovedì, al termine di un periodo di embargo. Nella divulgazione coordinata, ricercatori e sviluppatori tengono riservati i dettagli di una vulnerabilità finché la patch non è pronta. Martedì 20 ottobre, però, un post su Hacker News ha anticipato l’esistenza delle due falle. Il post è stato rimosso, ma gli screenshot hanno fatto in tempo a circolare sui social.

Poche ore dopo la società di sicurezza watchTowr ha confermato che le vulnerabilità sono reali e il team di PHP ha pubblicato un preavviso ufficiale, anticipando il rilascio di un giorno. PHP Foundation si riserva di accelerare ulteriormente se i dettagli tecnici diventassero pubblici o se emergessero prove di sfruttamento attivo e ha invitato tutti gli utenti a prepararsi per aggiornare non appena la release sarà disponibile.

Cosa si sa e cosa ancora no

I dettagli tecnici non sono stati pubblicati. Non si sa quale componente di PHP sia coinvolto, né se le falle siano sfruttabili con una semplice richiesta web o richiedano una configurazione particolare. Il CERT-EU, la squadra di risposta agli incidenti informatici delle istituzioni europee, osserva che un punteggio di 9,2 indica la possibilità di eseguire codice da remoto senza autenticazione.

Sulla gravità le fonti non concordano del tutto. Ben Harris, fondatore e Amministratore Delegato di watchTowr, ha parlato di due vulnerabilità con punteggio CVSS 10, il massimo della scala. La valutazione ufficiale del team di PHP resta 9,2. Anche gli identificativi CVE, secondo l’analisi di Phoenix Security, non compaiono nell’avviso di PHP ma derivano da watchTowr e dal materiale trapelato. Lo stesso CERT-EU li ha comunque adottati nel proprio bollettino.

watchTowr afferma di aver già riprodotto la prima delle due vulnerabilità. Secondo Sansec, società specializzata nella sicurezza dell’e-commerce, insieme al preavviso è trapelato lo screenshot di uno strumento di attacco chiamato PHP2Shell, attribuito a Calif.IO, che dichiara di funzionare su tutte le versioni di PHP dalla 5.4.0 in poi. Un breve video dimostrativo è stato pubblicato e poi rimosso. Al 20 ottobre Huntress non aveva osservato sfruttamenti reali negli ambienti che monitora. Sansec prevede però attacchi su larga scala entro 15 minuti dalla pubblicazione della patch, quando i dettagli tecnici diventeranno ricostruibili.

Quali versioni sono a rischio

PHP pubblicherà l’elenco delle versioni vulnerabili e di quelle corrette solo con la release di oggi. Le indiscrezioni parlano di tutte le versioni dalla 5 alla 8. watchTowr cita anche PHP 6, una versione però mai rilasciata ufficialmente, segno che le informazioni circolate finora vanno prese con cautela.

Il punto critico riguarda le versioni fuori supporto. PHP supporta ufficialmente solo i rami dalla 8.2 in su: chi usa PHP 8.1 o precedenti, con ogni probabilità, non riceverà una correzione ufficiale, e dovrà prima aggiornare a PHP 8.2 e poi procedere alla patch. Secondo W3Techs, a inizio agosto PHP era usato dal 70,5% dei siti web di cui è noto il linguaggio lato server, e solo il 62,5% di questi girava su PHP 8.

Oltre un terzo dei siti PHP usa quindi versioni 7 o precedenti, senza contare le installazioni ferme a 8.0 e 8.1. Una parziale eccezione sono le distribuzioni Linux enterprise e alcuni provider di hosting, che applicano le correzioni anche alle versioni che mantengono (backport).

Il perimetro di esposizione è ampio. Oltre ai sistemi di gestione dei contenuti come WordPress, Drupal e Joomla e alle piattaforme di e-commerce come Magento, WooCommerce e Shopware, PHP si trova nei pannelli di controllo per l’hosting come cPanel e Plesk e in molti software e appliance di terze parti che lo integrano senza dichiararlo.

Cosa fare subito

La correzione va applicata a livello di infrastruttura, aggiornando PHP sui server. Come sottolinea Sansec, non è possibile mitigare il problema intervenendo sul codice delle applicazioni. Le raccomandazioni di CERT-EU, Huntress e Sansec convergono su alcuni passi:

  • Censire tutte le installazioni di PHP, incluse quelle meno visibili: software di terze parti che includono gli eseguibili di PHP, pannelli di hosting, appliance.
  • Pianificare la finestra di manutenzione per questo pomeriggio, dando priorità ai sistemi esposti su Internet. I numeri delle versioni corrette saranno pubblicati su php.net; per i pacchetti delle distribuzioni Linux vanno verificati gli avvisi dei rispettivi manutentori.
  • Contattare subito il provider se il server è gestito da un servizio di hosting, perché sia pronto ad applicare l’aggiornamento.
  • Isolare le versioni fuori supporto: aggiornarle a un ramo supportato oppure toglierle da Internet, o proteggerle con una VPN o un WAF (Web Application Firewall, il filtro che analizza il traffico diretto alle applicazioni web). Il CERT-EU suggerisce di isolare dalla rete pubblica le applicazioni esposte che non è possibile correggere subito.
  • Sorvegliare i processi generati da PHP. Secondo Huntress, lo sfruttamento si manifesterà con ogni probabilità con processi PHP – come php-fpm, il gestore dei processi PHP usato dalla maggior parte dei server web – che avviano shell di comando, interpreti o strumenti di download come curl e wget. Per i server Linux privi di sistemi di rilevamento, il ricercatore Florian Roth ha pubblicato uno strumento gratuito, process-watcher.
  • In caso di compromissione, isolare il server, conservare i log del server web e di PHP e cercare webshell (script malevoli caricati sul server per controllarlo da remoto), file recenti nella directory del sito, nuove attività pianificate e nuovi account.

Una finestra di esposizione molto stretta

Quest’anno PHP ha già pubblicato diverse release di sicurezza, l’ultima il 30 luglio. Il caso attuale è diverso per gravità e per tempi. La fuga di notizie ha di fatto ridotto il margine di preparazione per gli amministratori, mentre la pubblicazione della patch permetterà agli attaccanti di analizzare le modifiche al codice e ricavarne un exploit in tempi brevi, aiutati anche dai nuovi tool di intelligenza artificiale.

Per le organizzazioni che rientrano nella direttiva NIS2, la gestione tempestiva delle vulnerabilità è tra le misure di sicurezza richieste. Le versioni corrette e i dettagli tecnici saranno disponibili da oggi pomeriggio sul sito ufficiale di PHP.