Le vulnerabilità PHP2Shell e il loro impatto
Le due vulnerabilità, identificate come CVE‑2026‑109618 e CVE‑2026‑109619, sono state scoperte da ricercatori di Calif con il supporto di GPT‑5.6 Sol. Entrambe permettono l’esecuzione di codice remoto sui server PHP senza alcuna autenticazione, aprendo la possibilità a takeover completi del sistema.
Le versioni vulnerabili includono PHP 8.4.26, mentre la patch correttiva è disponibile a partire da PHP 8.4.27, rilasciata il 21 ottobre. Tuttavia l’installazione di questi aggiornamenti richiede tempo, spesso diversi giorni, lasciando una finestra di attacco potenzialmente sfruttabile.
Primo exploit funzionante
Recenti test hanno confermato la presenza del primo exploit operativo, capace di eseguire codice arbitrario su server che ancora eseguono PHP 8.4.26. Nessun attacco riuscito è stato segnalato finora, ma la disponibilità di un exploit funzionante aumenta il rischio di tentativi di sfruttamento da parte di gruppi criminali.
La verifica del CERT‑AgID
Il team di risposta agli incidenti informatici dell’Agenzia per l’Italia Digitale (CERT‑AgID) ha analizzato gli indirizzi censiti nell’Indice delle Pubbliche Amministrazioni (IPA) usando lo strumento PHP2Shell Checker di OpenAI. Il tool esegue una scansione passiva degli header HTTP, senza tentare exploit, e segnala i siti “potenzialmente vulnerabili” quando non è possibile determinare con certezza la versione di PHP.
Il risultato della scansione effettuata il 22 ottobre evidenzia:
- Almeno 650 URL a rischio, pari al 3,2 % degli indirizzi raggiungibili.
- Il 7 % dei siti dichiara di utilizzare una versione di PHP già aggiornata.
- Il restante 89,8 % non ha fornito informazioni sufficienti per una valutazione precisa.
Procedura consigliata dal CERT‑AgID
Le amministrazioni interessate sono state avvisate e invitate a:
- Verificare la versione di PHP in esecuzione mediante strumenti di audit interno.
- Pianificare l’installazione immediata delle patch disponibili (PHP 8.4.27 o superiore).
- Considerare, in caso di impossibilità di aggiornamento rapido, la temporanea disattivazione dei servizi web esposti.
Rischi per il settore pubblico italiano
Secondo le analisi di Check Point Software, circa il 10 % delle organizzazioni italiane è a rischio a causa di vulnerabilità simili. Nel contesto delle Pubbliche Amministrazioni, la compromissione di un sito può avere conseguenze gravi, tra cui la diffusione di dati sensibili, l’interruzione di servizi essenziali e la perdita di fiducia da parte dei cittadini.
Il fattore critico è la mancanza di autenticazione nella vulnerabilità: un attaccante può inviare semplici richieste HTTP per iniettare codice PHP arbitrario, bypassando qualsiasi meccanismo di sicurezza a livello di applicazione.
Misure di mitigazione aggiuntive
Oltre all’aggiornamento del motore PHP, gli esperti raccomandano:
- Implementare filtri WAF (Web Application Firewall) specifici per bloccare payload sospetti.
- Abilitare il logging dettagliato delle richieste HTTP per individuare tentativi di exploit.
- Eseguire regolari scansioni di vulnerabilità con tool certificati, aggiornando le policy di sicurezza.
Conclusioni e prossimi passi
La scoperta delle vulnerabilità PHP2Shell e la rapida diffusione di un exploit funzionante evidenziano l’urgenza di un approccio proattivo alla sicurezza informatica nelle Pubbliche Amministrazioni. L’aggiornamento dei server PHP deve diventare una priorità operativa, supportata da una governance di sicurezza che includa monitoraggio continuo e risposta tempestiva agli avvisi del CERT‑AgID.
Solo attraverso un’azione coordinata – dalla verifica tecnica alla diffusione delle patch – sarà possibile ridurre il margine di esposizione e proteggere i servizi digitali destinati ai cittadini.