Il CISA, l’agenzia di cybersecurity del governo statunitense, ha confermato che gli attaccanti stanno sfruttando attivamente due vulnerabilità critiche di PHP2Shell, con un rinnovo della sua allerta per le agenzie federali a rispettare una scadenza di tre giorni per risolvere i problemi. Le vulnerabilità sono state aggiunte al catalogo delle Vulnerabilità Sfruttate (KEV) del CISA il 29 ottobre, dopo che l’agenzia aveva già segnalato la pericolosità di queste falle, ma senza aver ancora osservato exploit riusciti.
Entrambi i bug, identificati come CVE-2026-109618 e CVE-2026-109619, sono valutati 9.2 sulla scala CVSS e possono essere sfruttati senza autenticazione, permettendo l’esecuzione di codice sui server PHP vulnerabili. Questa situazione rappresenta un problema serio, considerando l’ampia diffusione di PHP su internet e il numero di siti potenzialmente esposti.
Le patch per queste vulnerabilità erano state rilasciate il 21 ottobre, ma gli attaccanti avevano già iniziato a tentare exploit, con AWS che aveva documentato tentativi di sfruttamento già dal 17 ottobre, quattro giorni prima della divulgazione pubblica delle vulnerabilità.
Il CISA ha preso questa decisione in un contesto in cui emergono prove crescenti che gli attaccanti non si limitano a esplorare, ma stanno attivamente sfruttando le vulnerabilità. Il ricercatore di sicurezza Adel Karimi ha registrato 35 esecuzioni di shell riuscite in tre honeypot, utilizzando PHP 8.4.26 sotto Apache mod_php. Gli attacchi sono giunti da due indirizzi IP e hanno impiegato tecniche come l’esaurimento della memoria per ottenere l’esecuzione remota di codice. Sebbene non siano stati scaricati ulteriori malware, i tentativi di contattare server esterni sono stati registrati.
Il laboratorio di Threat Intelligence dell’Università di Delft ha tracciato oltre 50.000 richieste di sfruttamento di PHP2Shell provenienti da oltre 600 indirizzi IP in 70 paesi, rilevando che 171 indirizzi hanno iniziato a inviare codice di exploit o malware.
Nonostante le conferme di sfruttamento, il CISA ha scelto di non rivelare quali organizzazioni siano state compromesse o dettagli sulle violazioni avvenute. La segnalazione indica che l’agenzia considera entrambe le vulnerabilità attivamente sfruttate, senza confermare il numero di sistemi di produzione compromessi.
Per le agenzie federali, il tempo stringe. Il CISA sta anche esortando le organizzazioni al di fuori del governo federale a dare priorità agli aggiornamenti, nonostante la scadenza non si applichi a queste ultime. Gli amministratori di sistema sono invitati ad aggiornare a PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35, a seconda della loro versione di PHP. Coloro che utilizzano versioni obsolete rischiano di trovarsi di fronte a problemi, dovendo gestire aggiornamenti o ottenere patch da fornitori, e i sistemi non correttamente protetti dovrebbero essere scollegati fino a quando non possa essere affrontato il rischio di sfruttamento.
Con il CISA che ha ora ufficialmente confermato gli sfruttamenti, chiunque stia aspettando ulteriori prove prima di applicare le patch potrebbe trovare di esser rimasto indietro.
