L’ENISA (Agenzia dell’Unione Europea per la Cybersecurity), la Commissione Europea, il CERT-EU e la rete dei CSIRT nazionali hanno rilasciato un’allerta urgente riguardante due vulnerabilità critiche che colpiscono il linguaggio di programmazione PHP.
Identificate con le sigle CVE-2026-109618 e CVE-2026-109619 e ribattezzate nel panorama operativo con il nome di “php2shell”, queste falle consentono ad attaccanti remoti di eseguire codice malevolo (Remote Code Execution – RCE) senza necessità di autenticazione.
La minaccia riguarda la quasi totalità degli ambienti web esposti, inclusi PHP-FPM, Apache mod_php, php-cgi, FrankenPHP e LiteSpeed.
Il livello di rischio è considerato massimo per i server che utilizzano mod_php, dove l’attacco può essere innescato prima ancora dell’esecuzione del codice dell’applicazione.
Cosa sono e come funzionano le CVE “php2shell”
Le due vulnerabilità colpiscono componenti strutturali nella gestione delle richieste HTTP e della memoria in PHP:
CVE-2026-109618: genera un’esecuzione remota di codice (RCE) tramite la corruzione di memoria (out-of-memory) durante la fase automatica di pulizia della richiesta (request cleanup);
CVE-2026-109619: consente l’RCE sfruttando il riutilizzo di uno stato globale obsoleto lasciata da una richiesta precedente all’interno dello stesso worker process.
L’Impatto su apparati embedded e software di terze parti
Il pericolo non si limita ai soli siti web tradizionali. Poiché PHP è un linguaggio profondamente integrato in molteplici architetture, la vulnerabilità impatta anche:
- Apparati di rete e router aziendali;
- Appliance di sicurezza e interfacce di gestione;
- Piattaforme software commerciali e immagini container che utilizzano runtime PHP in background.
In questi contesti, gli amministratori di sistema non possono aggiornare direttamente il linguaggio, ma devono attendere il rilascio delle patch da parte dei singoli produttori.
Come mitigare e neutralizzare la minaccia
Per proteggere l’infrastruttura aziendale e prevenire attacchi di tipo RCE, CyLock raccomanda a tutte le organizzazioni e ai provider di servizi gestiti (MSP e MSSP) di attuare immediatamente un piano d’azione in tre punti.
1. Patching e aggiornamento di versione
Il team ufficiale di PHP ha rilasciato i pacchetti correttivi. È necessario aggiornare immediatamente i sistemi alle seguenti release stabili:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Per le versioni giunte a fine vita (End-of-Life – EOL), come PHP 8.1 o precedenti, occorre verificare e applicare i pacchetti con backport messi a disposizione dai distributori Linux e vendor LTS.
2. Misure di mitigazione provvisorie
Qualora non fosse possibile applicare la patch in tempi rapidi, è opportuno adottare le seguenti contromisure temporanee (che riducono la superficie d’attacco ma non sostituiscono la patch definitiva):
- disabilitare la direttiva session.upload_progress;
- programmare riavvii frequenti dei worker process;
- revisionare e restringere le configurazioni di memory_limit e post_max_sizer
3. Mappatura completa dell’esposizione
Verificare l’intero perimetro informatico, includendo applicativi proprietari, dipendenze software terze e apparati di rete esposti su Internet.
Quadro Regolatorio: tracciabilità e il Cyber Resilience Act (CRA)
L’allerta di ENISA e CERT-EU si inserisce in un quadro normativo europeo sempre più stringente. Dall’11 settembre 2026, ai sensi del Cyber Resilience Act (CRA – Regolamento UE 2024/2847), i produttori e gli sviluppatori di prodotti software e hardware sono tenuti a segnalare tempestivamente le vulnerabilità attive tramite la piattaforma unica di reporting (SRP).
Garantire la sicurezza e il tracciamento proattivo delle falle informatiche non è più soltanto una buona prassi tecnica, ma un obbligo di compliance aziendale fondamentale per garantire la continuità operativa.
Come CyLock protegge la tua Infrastruttura
Identificare tempestivamente la presenza di dipendenze vulnerabili come quelle collegate alle CVE “php2shell” richiede strumenti automatizzati di rilevamento continuo.
Con le soluzioni avanzate di CyLock, basate su tecnologia proprietaria EVA, supportiamo le aziende e i partner gestiti (MSP/MSSP) attraverso:
- Vulnerability Assessment: per scansionare l’infrastruttura e individuare all’istante l’esposizione alle nuove vulnerabilità rese note dagli enti internazionali;
- Penetration Test: per verificare la reale tenuta delle difese contro tentativi di exploit RCE;
- Threat Intelligence: per monitorare proattivamente se i dati o i sistemi aziendali sono oggetto di minacce imminenti.
Vuoi verificare subito se i tuoi sistemi o quelli dei tuoi clienti sono a rischio per le vulnerabilità PHP?
Contattaci: info@cylock.tech
Approfondimenti:
Advisory Ufficiale ENISA
Repository GitHub (NCSC-NL – php2shell)