La crisi legata a PHP2Shell non si è chiusa con la pubblicazione delle prime patch, ma ha rivelato una realtà più complessa. Il lavoro di contenimento prosegue anche quando l'allarme scompare dal flusso delle notizie, come sottolineato da Tomer Schwartz, CTO of Exposure Management & AppSec di Wiz (oggi parte di Google). Due vulnerabilità critiche nel linguaggio open source, che alimenta una parte significativa del web, hanno costretto molte organizzazioni a interventi rapidi, arrivando in alcuni casi alla sospensione temporanea di siti web in attesa degli aggiornamenti.
PHP2Shell: dal bug critico alla gestione dell’emergenza
Il caso PHP2Shell è diventato emblematico per il coordinamento tra ricerca, vendor e la community open source. È stato descritto un intervento congiunto, che ha visto la partecipazione di OpenAI, Calif e del team PHP, mirato a correggere bug capaci di generare un impatto sistemico. La problematica non si limita alla gravità tecnica delle falle, ma include la velocità con cui nuove vulnerabilità possono essere scoperte, comunicate in modo imperfetto e rapidamente trasformate in tentativi di exploit su larga scala.
La lezione più rilevante emersa è di natura organizzativa: quando un componente software ampiamente diffuso richiede patch urgenti su migliaia di ambienti eterogenei, la correzione manuale si rivela insostenibile e inefficace.
Sia le startup che le imprese consolidate devono, pertanto, progettare architetture di sicurezza in cui l'inventario degli asset, la priorità del rischio e gli aggiornamenti siano gestiti come processi continui, anziché come attività straordinarie attivate solo in risposta a una crisi.
Una nuova vulnerabilità: la CVE-2026-115560
Il tema della sicurezza rimane aperto, come dimostrato dalla segnalazione di una nuova vulnerabilità RCE (Remote Code Execution) da parte del PHP Security Team. Tracciata come CVE-2026-115560, questa è collegata al meccanismo di session upload progress. A differenza delle precedenti falle PHP2Shell, la CVE-2026-115560 non riceverà una patch d’emergenza, poiché il suo sfruttamento richiede una combinazione rara e specifica di configurazione e codice applicativo.
La mitigazione suggerita consiste nel disabilitare la funzionalità session.upload_progress.enabled fino al rilascio della successiva release ordinaria di bugfix. Questo dettaglio tecnico evidenzia un cambiamento nel perimetro della sicurezza: non tutte le vulnerabilità richiedono la medesima risposta, e la classificazione del rischio dipende in modo cruciale dal contesto reale di configurazione, piuttosto che da un punteggio astratto della CVE.
Perché la patch manuale non basta più
Il caso PHP2Shell evidenzia un netto cambio di scala nelle sfide della sicurezza informatica. Quando una falla interessa un linguaggio presente in infrastrutture critiche – come quelle bancarie, sanitarie, educative e governative – la domanda non è più solo “quando arriva la patch”, ma “chi è in grado di applicarla in tempo e su vasta scala”. Questo scenario sottolinea l'urgenza di adottare approcci alla sicurezza più automatizzati e continui, superando i limiti delle soluzioni manuali.
