Il 25 ottobre 2026 il CSIRT Italia, il centro dell’Agenzia per la cybersicurezza nazionale che monitora le minacce informatiche, ha diffuso l’alert AL01/261025/CSIRT-ITA su PHP2Shell, un insieme di vulnerabilità del linguaggio PHP. Secondo i dati di esposizione citati nell’alert, su 741.523 servizi PHP rilevati in Italia, 285.149 usano versioni potenzialmente vulnerabili. Sono l’81,9% dei servizi di cui è stato possibile identificare la versione. L’alert classifica l’impatto sistemico come critico e la tipologia come Remote Code Execution, cioè l’esecuzione di codice da remoto.
Chi è coinvolto
Per le vulnerabilità CVE-2026-109618 e CVE-2026-109619 risultano interessate queste versioni di PHP:
- 8.5.x, precedenti alla 8.5.12;
- 8.4.x, precedenti alla 8.4.27;
- 8.3.x, precedenti alla 8.3.36;
- 8.2.x, precedenti alla 8.2.35;
- 8.1 e precedenti, non più supportate dal progetto PHP.
Per la CVE-2026-115560 l’esposizione dipende dalla configurazione e dalle condizioni applicative. Secondo l’alert, non può essere stabilita solo in base alla versione di PHP installata. Le stime sulle versioni potrebbero inoltre includere sistemi già corretti senza che il numero di versione sia cambiato.
Che rischio c’è
Le CVE-2026-109618 e CVE-2026-109619 hanno gravità critica, con un punteggio CVSS v4.0 di 9,2. Il CVSS è una scala che misura la gravità di una falla. Secondo l’alert, un attaccante remoto e non autenticato, cioè senza bisogno di credenziali, potrebbe eseguire codice arbitrario sui sistemi interessati. Questo significa poter far girare comandi scelti da chi attacca, con conseguenze su riservatezza, integrità e disponibilità dei dati e dei servizi.
Per entrambe l’alert indica la disponibilità pubblica di Proof of Concept, cioè dimostrazioni di come sfruttare la falla, e parla di recenti tentativi di sfruttamento.
Il produttore ha poi segnalato una terza vulnerabilità, la CVE-2026-115560, per cui non esiste ancora una patch. Può consentire l’esecuzione di codice da remoto solo in condizioni precise. Il parametro session.serialize_handler, inizialmente impostato su php_binary o php_serialize, deve essere cambiato dinamicamente in php prima dell’avvio della sessione. Deve inoltre essere attiva la funzione che monitora l’avanzamento degli upload. Le correzioni già distribuite per le altre due falle non risolvono questa.
Cosa fare
L’alert chiede di intervenire subito, dando priorità ai sistemi esposti direttamente su Internet. Le azioni indicate sono queste:
- aggiornare le installazioni PHP vulnerabili alle versioni corrette, verificando che gli aggiornamenti di sicurezza siano stati applicati davvero, anche quando i pacchetti sono gestiti dal fornitore della distribuzione;
- disabilitare il parametro session.upload_progress.enabled, impostandolo a 0, per mitigare la CVE-2026-115560, e verificare che la configurazione sia applicata ai processi PHP interessati;
- configurare i Web Application Firewall (WAF), i sistemi che filtrano le richieste dirette a un sito, in modalità blocco, se esistono regole specifiche. Non sostituiscono gli aggiornamenti;
- valutare di porre offline i servizi vulnerabili se non si può aggiornare o mitigare in tempi rapidi;
- controllare i log alla ricerca di segni di sfruttamento, con attenzione a richieste HTTP anomale, errori di esaurimento della memoria e interruzioni inattese dei processi PHP.
Due accorgimenti generici: verificare che gli aggiornamenti automatici del server siano attivi e avvisare il fornitore IT o il gestore del sito, se il sito è affidato a terzi.
Fonte: alert AL01/261025/CSIRT-ITA del CSIRT Italia, Agenzia per la cybersicurezza nazionale, pubblicato il 25 ottobre 2026 (impatto sistemico critico). Leggi l’alert originale.
