Due falle critiche in PHP, il linguaggio dietro buona parte dei siti web, sono state corrette il 21 ottobre. In poche ore gli attacchi sono saliti a milioni e diversi governi europei hanno spento i propri portali. La domanda vera è chi arriva prima: chi aggiorna o chi sfrutta la falla.
Le schede vanno dalla falla tecnica alle verifiche da fare subito su un sito in PHP.
Il 21 ottobre il progetto PHP ha rilasciato le versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Correggono le vulnerabilità CVE-2026-109618 e CVE-2026-109619, ribattezzate PHP2Shell.
Il Csirt Italia le classifica come critiche, con punteggio 9,2 su 10. Permettono a un attaccante non autenticato di eseguire codice sul server con richieste costruite ad arte.
Secondo la ricostruzione di Decrypt, il primo difetto nasce quando PHP esaurisce la memoria a metà richiesta. Poi tratta come completi dati rimasti a metà.
Il secondo lascia in memoria residui della richiesta di un visitatore, che una richiesta successiva può sfruttare. I server più esposti sono quelli Apache con mod_php. Lì l’attacco parte prima ancora del codice del sito.
Il ceo di Cloudflare, Matthew Prince, ha contato migliaia di tentativi nelle dieci ore prima dell’annuncio. Dopo la pubblicazione erano diventati milioni.
Diverse amministrazioni hanno spento i siti per precauzione. Tra queste il parlamento e l’agenzia cyber dei Paesi Bassi, l’agenzia informatica finlandese Valtori e alcune prefetture francesi. In Giappone sono stati sospesi anche servizi del ministero delle Finanze.
Secondo Fortune, il primo difetto è stato individuato ad agosto dalla società Calif con il modello GPT-5.6 Sol di OpenAI. Wiz lo ha trovato in modo indipendente, sempre con strumenti di IA.
OpenAI presenta il caso come un successo difensivo della sua iniziativa Patch the Planet. Ma la stessa azienda avverte che queste capacità aiutano anche chi attacca. Gli attacchi, del resto, sono iniziati prima che la patch fosse pubblica.
SUPPORTO
Per PHP 8.1 e versioni precedenti non arriverà nessun aggiornamento ufficiale: sono fuori supporto. Il progetto ha pubblicato solo correzioni del codice sorgente, da applicare a mano.
Secondo la società di analisi Mallory, il 20 ottobre erano circa 884.000 i server esposti con PHP 8.1 o precedenti. È la parte del problema che non si chiude con un clic.
Non è noto quante intrusioni siano andate a segno, né chi sia dietro gli attacchi. Anche i numeri sull’esposizione vanno letti con cautela.
Il dato del 70% del web indica i siti che usano PHP, non quelli vulnerabili. Sull’età del difetto le stime divergono: il Cert-Ue considera non verificate le ipotesi che lo fanno risalire al 2004.
Il Csirt Italia raccomanda di aggiornare PHP e di cercare nei log segnali anomali. Tra questi errori ripetuti di memoria esaurita, crash dei processi e file modificati senza autorizzazione.
Se l’aggiornamento non è possibile, consiglia di sospendere il servizio. Per chi usa WordPress, Wordfence ricorda che gli aggiornamenti automatici del sito non toccano PHP. Va chiesto al fornitore di hosting.
