Le vulnerabilità PHP2Shell sono passate da rischio teorico a emergenza operativa. CISA, l'agenzia statunitense per la cybersicurezza, ha confermato lo sfruttamento attivo di due falle critiche nel software PHP, ordinando alle agenzie federali civili di correggere i sistemi vulnerabili entro tre giorni. La gravità risiede nella diffusione di PHP sul web: un bug sfruttabile da remoto può generare un problema sistemico. Questo scenario evidenzia anche il crescente ruolo dell'intelligenza artificiale nella scoperta e combinazione di exploit.
L'allarme CISA e la portata delle falle
Le due falle, identificate collettivamente come PHP2Shell, consentono l'esecuzione di codice da remoto su sistemi non aggiornati. La possibilità di accedere a un sistema vulnerabile via internet senza necessità di password ha motivato la rapidità dell'intervento federale. Sebbene CISA non abbia rivelato chi stia sfruttando attivamente le vulnerabilità, il loro inserimento nel catalogo delle falle note e attivamente sfruttate (KEV) ne conferma la concretezza e l'imminenza del rischio.
La situazione è ulteriormente aggravata dal fatto che PHP è una tecnologia matura, presente da decenni nell'ecosistema web. La sicurezza dei progetti open source storici spesso dipende da risorse limitate e dalla prontezza di reazione quando una vulnerabilità latente diventa sfruttabile.
Le vulnerabilità PHP2Shell dimostrano la fragilità del confine tra un bug conosciuto, un rischio sottovalutato e un incidente su vasta scala.
Patch, exploit e finestra di esposizione
Le falle, tracciate come CVE-2026-109618 e CVE-2026-109619, sono state corrette dal team di sicurezza PHP il 21 ottobre 2026. Dettagli e proof-of-concept erano circolati prima della disponibilità delle patch, sebbene il team PHP avesse inizialmente dichiarato tali PoC non funzionanti. Il dato più preoccupante è la finestra di esposizione: attività di targeting erano state osservate anche prima del rilascio degli aggiornamenti.
L'obbligo imposto alle agenzie federali civili statunitensi rientra nella gestione prioritaria delle vulnerabilità presenti nel catalogo KEV.
Per le organizzazioni private, il segnale operativo è chiaro: è urgente procedere all'inventario dei server PHP, alla verifica delle versioni installate, all'applicazione delle patch e al controllo dei log. In caso di RCE (esecuzione di codice da remoto), il semplice aggiornamento potrebbe non bastare se l'attaccante ha già ottenuto persistenza.
