Le due falle critiche di PHP note come PHP2Shell, corrette dal progetto il 21 ottobre, stanno già costringendo aziende a spegnere servizi online. Capcom ha messo offline le funzioni online di Street Fighter 5, giocabile ora solo in locale su PC e PlayStation 4, e ha sospeso anche le vendite digitali. Came ha fermato fino al 29 ottobre il cloud di domotica e antintrusione. Intanto un ricercatore ha documentato un attacco riuscito contro un server reale: il rischio, per chi non ha aggiornato, non è più teorico.[1][2][3]
In breve
- PHP2Shell sono due falle che permettono di eseguire codice da remoto sui server, senza autenticazione.
- Capcom e Came hanno sospeso servizi online in via preventiva.
- È stato confermato un attacco riuscito contro un server con PHP 8.4.26.
- In Italia molti siti risultano esposti e aggiornare può non bastare.
Che cosa sono le falle PHP2Shell?
Cominciamo da ciò che ha messo in allarme mezzo mondo del web. PHP2Shell è il nome dato a due vulnerabilità del linguaggio PHP, tracciate come CVE-2026-109618 e CVE-2026-109619, che permettono di eseguire codice da remoto sui server senza bisogno di autenticarsi. Secondo Punto Informatico sono state scoperte dai ricercatori di Calif con l’aiuto di GPT-5.6 Sol, mentre HWUpgrade cita anche il team di Wiz. Il punteggio di gravità CVSS v4.0 è 9,2, e basta una richiesta HTTP costruita ad arte per arrivare al codice arbitrario prima ancora che parta l’applicazione.[4][3]
La portata dipende da quanto PHP è diffuso, e lo è moltissimo. Il progetto PHP ha distribuito le correzioni d’emergenza il 21 ottobre, nelle versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Si stima che il linguaggio alimenti il 70% dei siti. Il 23 ottobre il PHP Security Team ha poi pubblicato un avviso su una terza falla, CVE-2026-115560, che le patch del 21 non risolvono: come misura temporanea si raccomanda di disattivare la funzione session upload progress.[5][3]
Quali servizi sono stati spenti?
Le conseguenze pratiche si vedono già nel gaming e nella casa connessa. Il caso più visibile per i giocatori è Street Fighter 5: Capcom ha scelto di metterlo offline temporaneamente, perché collegato alle vulnerabilità di PHP. Secondo DDay, il gioco resta utilizzabile solo in modalità offline su PC (Steam) e PlayStation 4, le uniche piattaforme su cui esiste, mentre le modalità online non sono disponibili e anche la vendita delle versioni digitali è sospesa. Capcom sta lavorando a un aggiornamento per risolvere il problema.[1]
Anche fuori dai videogiochi la strategia è stata la stessa. Came, azienda trevigiana, ha sospeso dal 26 ottobre al 29 ottobre le funzioni cloud di Came Domotica e Antintrusione, cioè il controllo da remoto di impianti smart home e allarmi. L’azienda ha definito la scelta «puramente preventiva»; gli impianti continuano a funzionare in locale. A conti fatti, la sospensione parte cinque giorni dopo le patch (26 meno 21) e dura fino al 29 ottobre, la finestra indicata per la riattivazione. È la strada che il CSIRT Italia suggerisce quando l’aggiornamento non è immediato.[3]
Gli attacchi sono già riusciti?
La domanda è fondata, perché le ultime ore hanno cambiato il quadro. Finora i tentativi segnalati da diverse società di sicurezza erano falliti, ma a ridosso del rilascio delle patch è arrivata la prima conferma di un attacco riuscito. Adel Karimi, responsabile detection and response di Perplexity, ha intercettato con i suoi honeypot (server esca) un’esecuzione di codice da remoto contro un’installazione Apache con mod_php su PHP 8.4.26, versione precedente alla 8.4.27 corretta. Per lui si tratta di «RCE confermata con divulgazione di memoria utilizzabile», ma ha precisato che la prova riguarda una configurazione volutamente favorevole.[2][4]
Le conferme indipendenti non sono mancate. Marcus Hutchins, ricercatore di Expel, ha giudicato l’analisi la conferma di più alta qualità vista finora di sfruttamento reale di PHP2Shell. La cronologia mostra un’escalation: secondo Amazon Threat Intelligence c’erano stati attacchi mirati già quattro giorni prima delle patch, ma per Dataminr si limitavano a scansioni ed exploit non funzionanti. La CISA ha diffuso una regola di rilevamento in formato SIGMA, senza però classificare ufficialmente le falle come sfruttate attivamente.[2]
Quanti siti italiani sono esposti e che cosa si può fare?
In Italia i numeri dipendono da chi li misura. Il CERT-AgID, analizzando gli indirizzi delle pubbliche amministrazioni, ha individuato almeno 650 URL potenzialmente vulnerabili con la scansione del 22 ottobre, circa il 3,2% di quelli raggiungibili, mentre il 7% dei siti dichiara una versione aggiornata. Il CSIRT Italia segnala invece che l’81,9% dei servizi PHP con versione identificata nel Paese era potenzialmente esposto prima degli aggiornamenti. Check Point Software stima a rischio il 10% delle organizzazioni italiane.[4][3]
E installare la patch, avverte Google, può non bastare. Secondo l’analisi di Google Cloud, aggiornata con indicazioni di Mandiant, dopo l’aggiornamento dei pacchetti Apache, PHP-FPM e altri processi possono continuare a eseguire in memoria la vecchia versione vulnerabile. Occorre riavviare i servizi che eseguono PHP, e Red Hat raccomanda un riavvio completo dei worker. Il CSIRT invita inoltre a verificare la versione realmente in esecuzione e, per la terza falla, a disattivare session.upload_progress.enabled.[6][3]
In sintesi
Il filo che lega tutti questi casi è uno solo. Due falle critiche con punteggio 9,2, corrette il 21 ottobre, hanno prodotto spegnimenti concreti: l’online di Street Fighter 5, il cloud di Came fino al 29 ottobre. L’attacco riuscito su PHP 8.4.26 mostra che chi non ha aggiornato è esposto, e in Italia almeno 650 URL della pubblica amministrazione risultavano potenzialmente scoperti. Aggiornare richiede anche il riavvio dei servizi, mentre per la terza falla CVE-2026-115560 si attende ancora la patch, prevista con il prossimo aggiornamento ordinario, e Capcom lavora al suo intervento.[1][4][5][2][3]
Fonti
- dday: Street Fighter 5 messo offline: rischi a causa delle vulnerabilità di PHP
- hwupgrade: PHP2Shell: sfruttate attivamente le due falle critiche di PHP, ed è peggio di quanto si temesse
- hwupgrade: PHP2Shell: Came sospende smart home e antintrusione fino al 29 ottobre
- Punto Informatico: PHP2Shell: 650 URL delle PA sono potenzialmente vulnerabili
- IlSoftware.it: PHP, nuova falla RCE PHP2Shell: disattiva subito questa funzione per proteggerti
- IlSoftware.it: PHP2Shell, Google avverte: installare le patch potrebbe non essere sufficiente
Lascia un commento