Vulnerabilità · Globale · ottobre 2026

PHP2Shell: esecuzione remota di codice critica in PHP (CVE-2026-109618, CVE-2026-109619)

Due vulnerabilità critiche di esecuzione remota di codice senza autenticazione in PHP hanno portato a rilasci di emergenza e ad avvisi congiunti di ENISA, CERT-EU, FBI e NSA.

Incidente

Cosa è accaduto

Il 21 ottobre 2026 il progetto PHP ha rilasciato aggiornamenti di sicurezza di emergenza (PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35) che correggono due vulnerabilità critiche con punteggio CVSS 9,2, indicate collettivamente come PHP2Shell.

CVE-2026-109618 consente l'esecuzione remota di codice tramite corruzione della memoria durante la gestione dell'esaurimento della memoria; CVE-2026-109619 è un use-after-free dovuto a uno stato obsoleto. Entrambe possono essere attivate da richieste non autenticate prima dell'esecuzione del codice applicativo, con il rischio più elevato su Apache con mod_php.

ENISA, la Commissione europea, CERT-EU, Europol EC3 e la rete dei CSIRT dell'UE hanno pubblicato una dichiarazione congiunta sollecitando l'applicazione immediata delle patch, mentre FBI e NSA pubblicavano avvisi paralleli. I ricercatori di sicurezza hanno osservato attività di ricognizione e scansione delle applicazioni PHP entro poche ore dalla divulgazione.

Analisi

Lezioni apprese

I sistemi PHP esposti a Internet devono essere aggiornati immediatamente; laddove non sia possibile, isolare le applicazioni esposte dalle reti pubbliche finché le correzioni non siano applicate e verificate.

PHP 8.1 e versioni precedenti non ricevono più aggiornamenti dal progetto PHP, quindi le versioni non supportate devono essere aggiornate o coperte da backport del fornitore.

Molti prodotti commerciali e open source integrano PHP in background; è necessario un inventario software accurato per individuare i sistemi interessati che non sembrano usare PHP direttamente.

Prevenzione

Come contribuiscono i penetration test

I penetration test di applicazioni web e reti identificano i servizi PHP esposti, le versioni runtime obsolete e i componenti vulnerabili, e verificano che le misure di patching e isolamento siano effettivamente efficaci.

Visualizza il servizio correlato Richieda una valutazione

Fonti

Sintesi basata su informazioni pubblicamente disponibili. DIGITPOL non è stata coinvolta in questo incidente.