PHP2Shell: due falle critiche in PHP, cosa fare adesso

1 lettura

Il 21 ottobre PHP ha corretto due vulnerabilità che permettono di prendere il controllo di un sito web senza password. Gli attacchi sono già iniziati: ecco come capire se il vostro sito è a rischio.

Il 21 ottobre gli sviluppatori di PHP, il linguaggio con cui funziona gran parte dei siti web (WordPress compreso), hanno pubblicato un aggiornamento di emergenza per due vulnerabilità gravissime, ribattezzate PHP2Shell (CVE-2026-109618 e CVE-2026-109619, gravità 9,2 su 10).

Cosa permettono. Un attaccante può inviare richieste studiate apposta al sito e arrivare a eseguire comandi sul server, senza conoscere nessuna password. In pratica può installare malware, rubare dati o usare il sito per colpire i visitatori. Sono coinvolti tutti i server che usano PHP per rispondere alle pagine web, indipendentemente dal software installato sopra.

Gli attacchi sono già partiti. Amazon ha registrato un primo tentativo il 17 ottobre, quattro giorni prima dell’annuncio, e dopo la pubblicazione delle correzioni i tentativi sono aumentati. Le falle, presenti nel codice da anni, sono state scoperte da ricercatori che hanno usato l’intelligenza artificiale: lo stesso aiuto che oggi accorcia anche il lavoro di chi attacca.

Cosa significa per la vostra azienda

• Se avete un sito, un gestionale web o un’area clienti in PHP, chiedete al vostro fornitore o all’hosting quale versione di PHP è in uso. Le versioni corrette sono 8.5.12, 8.4.27, 8.3.36 e 8.2.35 o successive.
• Se il sito usa ancora PHP 8.1, 8.0 o 7.x, quelle versioni non ricevono più correzioni: va aggiornato a una versione supportata, verificando prima che il sito funzioni.
• Su un hosting gestito l’aggiornamento di PHP di solito lo fa il fornitore, ma vale la pena chiederne conferma. Su un server proprio va fatto da chi lo amministra, e subito.
• Approfittatene per controllare che il sito abbia un backup recente fuori dal server.

Se non sapete da dove cominciare, scriveteci: controlliamo noi versione di PHP e backup del vostro sito.

Fonti: The Hacker News, Rapid7, CERT-EU, Cybersecurity360