Un’ondata di attacchi informatici sta colpendo server e siti web, in seguito alla scoperta di gravi vulnerabilità nel sistema PHP2Shell. Amazon ha rivelato che i cybercriminali hanno iniziato a cercare di sfruttare queste falle quattro giorni prima della loro divulgazione pubblica.
Secondo quanto riportato da Cloudflare, sono stati registrati milioni di tentativi di sfruttamento delle vulnerabilità, identificate con i codici CVE-2026-109618 e CVE-2026-109619, a partire dall’annuncio della loro esistenza. Il CEO di Cloudflare, Matthew Prince, ha dichiarato che, nelle dieci ore precedenti la loro divulgazione, la società ha rilevato migliaia di tentativi di sfruttamento, cifra che è rapidamente salita a decine di migliaia in un quarto d’ora e, successivamente, a centinaia di migliaia in due ore, fino a superare i milioni.
Non si tratta solo di attacchi standard; Cloudflare ha notato che gli aggressori stanno variando i loro payload per tentare di superare le protezioni del firewall delle applicazioni web (WAF), utilizzando il feedback delle richieste bloccate per ottimizzare i loro metodi di attacco.
La società di sicurezza Hadrian ha lanciato l’allerta il 21 ottobre, affermando che il PHP2Shell era “sfruttato attivamente a livello massiccio”. La maggior parte degli attacchi si concentra sull’abuso del percorso di caricamento dei progressi della sessione PHP, e gli esperti prevedono che altre modalità di sfruttamento emergeranno prima e dopo la distribuzione delle patch.
Particolarmente allarmante è il fatto che alcuni aggressori sembrano aver iniziato a sfruttare le vulnerabilità prima ancora che queste fossero rese note. Amazon Threat Intelligence ha rilevato tentativi di sfruttamento risalenti al 17 ottobre, quattro giorni prima della pubblicazione delle patch, attraverso la sua rete di honeypot, realizzando così un monitoraggio dell’attività degli attaccanti.
Amazon ha osservato diversi exploit di proof-of-concept il 21 ottobre, con i primi tentativi registrati attorno alle 02:00 UTC, circa dodici ore prima che le patch fossero rese disponibili. Le successive sei ore hanno visto ulteriori tentativi provenienti da diverse infrastrutture anonime, suggerendo la partecipazione di più attaccanti piuttosto che di un’unica entità. Tuttavia, è ancora incerto se questi tentativi sarebbero stati efficaci contro sistemi reali.
Queste scoperte aggiungono un ulteriore livello di complessità alla già difficile divulgazione delle vulnerabilità. La PHP Foundation ha accusato la società di sicurezza Chainguard di mettere a rischio i siti web pubblicando versioni patchate di PHP prima del termine concordato per la divulgazione.
Le vulnerabilità in questione sono di particolare gravità, con una valutazione di severità critica di 9.2 e riguardano la gestione della memoria di PHP, consentendo potenzialmente a attaccanti non autenticati di eseguire codice malevolo su server vulnerabili. A differenza delle falle in plugin o applicazioni specifiche, questi difetti colpiscono il runtime PHP stesso, esponendo un numero potenzialmente enorme di siti web, indipendentemente dal sistema di gestione dei contenuti utilizzato.
Cloudflare ha implementato protezioni WAF su tutti i suoi piani, gratuiti e a pagamento, sottolineando, tuttavia, che queste non possono sostituire l’importanza dell’aggiornamento. Con i criminali informatici che cercano di sfruttare le vulnerabilità anche prima della disponibilità delle patch, è necessario che gli amministratori di sistema indaghino su attività sospette che risalgono ad almeno il 17 ottobre, piuttosto che presumere che i loro sistemi siano stati sicuri fino alla divulgazione delle vulnerabilità.
