Un nuovo problema di sicurezza affligge PHP2Shell, il che mette in allerta gli utenti della popolare piattaforma di programmazione. I ricercatori hanno scoperto una terza vulnerabilità di PHP che potrebbe consentire a malintenzionati di prendere il controllo di siti web o eseguire malware su sistemi vulnerabili. Tuttavia, questa specifica vulnerabilità non riceverà una correzione d’emergenza.
Lo scorso venerdì, la PHP Foundation ha comunicato a The Register che è stato riservato un identificativo CVE (CVE-2026-115560) per un terzo difetto di esecuzione di codice remota (RCE), da affiancare ai primi due già noti. La fondazione ha dichiarato che fornirà un avviso completo e un software corretto con il prossimo rilascio programmato di PHP.
Elizabeth Barron, direttrice esecutiva della PHP Foundation, ha spiegato: “Questo problema richiede una combinazione molto improbabile di configurazione e codice specifico dell’applicazione PHP, che non ci aspettiamo si verifichi nell’uso pratico di PHP”. Ha inoltre aggiunto che il problema può essere mitigato con un’impostazione di configurazione. Pertanto, per il momento, il team di sicurezza di PHP ha pubblicato solo un avviso informativo sul sito ufficiale, spiegando esattamente questa situazione.
L’avviso informativo, pubblicato venerdì, suggerisce agli utenti di impostare session.upload_progress.enabled=0 fino al prossimo rilascio regolare di correzioni, per proteggersi completamente da un improbabile vettore RCE. Tali attacchi RCE improbabili richiedono un’applicazione che configuri session.serialize_handler su php_binary o php_serialize e poi lo cambi in php a runtime con ini_set() prima di chiamare session_start(). Inoltre, deve essere attivata la funzione di progresso del caricamento della sessione.
Secondo la PHP Foundation, questa configurazione è rara nelle applicazioni reali e, pertanto, non presenta lo stesso rischio massiccio delle due CVE precedenti, che hanno creato non pochi problemi in rete all’inizio di questa settimana. Queste vulnerabilità, CVE-2026-109618 e CVE-2026-109619, conosciute complessivamente come PHP2Shell, comportano difetti di sicurezza nella gestione della memoria in PHP, il linguaggio di programmazione open source utilizzato da circa il 70% dei siti web con un linguaggio di programmazione server-side noto. La fondazione ha ufficialmente comunicato e corretto entrambi i bug mercoledì.
Nonostante i rapporti su tentativi di sfruttamento di massa e diversi exploit proof-of-concept sia prima che dopo la divulgazione delle CVE, fino a venerdì non sono state confermate pubblicamente compromissioni attribuibili a PHP2Shell. Barron ha dichiarato: “Non abbiamo prove di sfruttamenti riusciti prima della divulgazione. Attualmente non ci sono evidenze di sfruttamento di queste vulnerabilità nelle versioni di PHP corrette”. Non sono pervenute ulteriori indicazioni da OpenAI, Wiz o Calif, con cui stiamo lavorando a stretto contatto su questa problematica.
The Register ha contattato diversi altri ricercatori di sicurezza, che hanno confermato di aver documentato tentativi di sfruttamento, ma nessun attacco riuscito in condizioni reali. Tuttavia, Charles Carmakal, Chief Technology Officer di Mandiant, ha indicato in un post su LinkedIn che “l’esploitazione potrebbe già essere iniziata in modo limitato e la minaccia è concreta e molto seria”. Mandiant è di proprietà di Google Cloud, insieme a Wiz, una delle aziende che hanno contribuito a trovare e segnalare le vulnerabilità di PHP2Shell.
Nonostante “non ci siano prove di sfruttamenti su larga scala”, Carmakal ha notato che ci sono molteplici PoC di exploit circolanti pubblicamente online. Molti di questi appaiono “codificati a vibrazione” e non sono in grado di eseguire codice in modo remoto. Alcuni PoC in nostro possesso sono stati convalidati, ma capaci di RCE solo su installazioni predefinite di mod_php e non su PHP-FPM.
