Sicurezza

PHP2Shell: due falle critiche in PHP; con l'AI i ricercatori hanno trovato come sfruttarle

Cosa dicono AP, AFP, Wiz, CISA e Cloudflare, che cosa devi fare se hai un sito e che cosa non è ancora chiaro.

Che cosa è successo

PHP è un linguaggio di programmazione usato per far funzionare i siti web dal lato del server: ci girano, tra gli altri, WordPress, Drupal, Joomla e MediaWiki, il software di Wikipedia (Wiz). Il 21 ottobre 2026 i responsabili di PHP hanno pubblicato la correzione di più difetti di sicurezza nel motore del linguaggio, raggruppati in due vulnerabilità con gravità fino a 9,2 su 10 nella scala CVSS (Wiz). Sono identificate come CVE-2026-109618 e CVE-2026-109619 e, per la CISA, sono note come «php2shell».

Secondo l'AFP, i difetti erano stati segnalati in privato agli sviluppatori di PHP e tenuti riservati mentre si preparava la correzione. L'agenzia scrive che i dettagli sono finiti online martedì, un giorno prima del rilascio previsto, e che questo ha spinto molti a mettere offline i propri siti prima che qualcuno potesse sfruttarli. L'AFP aggiunge che la NSA americana ha invitato le organizzazioni ad applicare subito la patch o a mettere fuori servizio i sistemi vulnerabili, un appello ripreso da autorità di altri Paesi.

Che ruolo ha avuto l'AI

Secondo l'AP, esseri umani hanno scoperto per primi i difetti: per la PHP Foundation almeno uno dei due, quello della CVE-2026-109618, era noto dal 2024, ma sembrava non esserci un modo pratico per sfruttarlo e la correzione era rimasta ferma. Gli agenti AI, scrive l'AP, hanno aiutato a capire come sfruttarli e a verificare le correzioni; OpenAI dice di aver guidato una coalizione di ricercatori e società di sicurezza, e Wiz di aver usato l'AI in modo indipendente.

Le ricostruzioni non coincidono del tutto. Secondo l'AFP, la società di sicurezza Calif ha trovato i difetti ad agosto con il modello GPT-5.6 Sol di OpenAI, nell'ambito di una verifica del codice di PHP finanziata da OpenAI. Wiz, che l'AFP indica come società di proprietà di Google, dice di averli trovati in modo indipendente qualche settimana dopo, con l'aiuto di modelli come Gemini 4 Argon di Google e GPT-5.6 Sol.

Nel suo blog Wiz sostiene che i difetti erano presenti da anni, ma che dimostrare di poterli sfruttare richiedeva una catena di passaggi molto complessa, «al limite di ciò che i ricercatori umani potevano fare in pratica». I modelli di AI più avanzati, scrive Wiz, hanno ridotto questa barriera e hanno permesso al suo team di sviluppare e adattare exploit funzionanti su più applicazioni «in poche ore». Secondo l'AFP, OpenAI ha parlato di una «nuova fase» in cui l'AI può trovare bug di sicurezza con impatto su scala internet.

Che cosa permettono di fare

Secondo Wiz, le falle permettono a un attaccante, senza bisogno di password, di eseguire codice sul server oppure di leggere dalla memoria del processo PHP dati sensibili come password, token di accesso, chiavi API e certificati. Wiz precisa che il difetto sta nel PHP stesso e non nel codice del sito: anche una semplice applicazione «Hello World» su una versione vulnerabile può essere esposta.

La CISA, l'agenzia americana per la sicurezza informatica, scrive che le falle riguardano tutte le installazioni di PHP che rispondono a richieste web, comprese quelle con Apache e mod_php, PHP-FPM, php-cgi, FrankenPHP e LiteSpeed. Secondo Wiz è colpita ogni versione di PHP uscita nell'ultimo decennio, fino alla 5.4; Cloudflare indica tutti i server con PHP 5.4 o successivo.

Quanto è grave, secondo chi

«Questi risultati rientrano tra le più gravi vulnerabilità scoperte in PHP, e probabilmente nella storia del software», scrive Wiz: è un giudizio di chi ha trovato le falle, non una misura indipendente. Sempre secondo l'AFP, Volker Dusch, ingegnere della sicurezza della PHP Foundation, ha detto al Wall Street Journal che è il problema più serio per PHP da oltre dieci anni e lo ha paragonato a Heartbleed, la falla del 2014 che fece scattare una corsa mondiale agli aggiornamenti.

Sul fronte degli attacchi, la CISA ha scritto che al momento della pubblicazione dell'avviso non aveva osservato sfruttamento riuscito delle falle «in the wild», cioè nel mondo reale, ma che restano un rischio per chi non aggiorna. L'AFP riferisce che finora ci sono poche prove di attacchi dannosi e riporta Ryan Austin, di Calif, secondo cui «non sembra che lo sfruttamento sia decollato o si sia diffuso»; la stessa agenzia scrive che eventuali furti di dati potrebbero portare, più avanti, a ondate di phishing, cioè a messaggi truffa costruiti con dati personali per rubare password.

Che cosa non è ancora chiaro

Le fonti consultate non indicano quanti siti siano stati davvero compromessi: Wiz parla di una diffusione potenziale legata all'uso di PHP, non di vittime confermate. Il progetto PHP ha inoltre pubblicato il 23 ottobre un avviso su una falla collegata, CVE-2026-115560, segnalata anche da Cloudflare: riguarda la funzione di avanzamento dei caricamenti, non è corretta dalle versioni del 21 ottobre come la 8.5.12 e richiede una combinazione insolita di configurazione e codice. Sarà sistemata nella prossima release regolare; intanto PHP suggerisce di impostare session.upload_progress.enabled=0.

Resta infine il tema dei siti che non vengono aggiornati. Secondo l'AFP, un docente di cybersicurezza avverte che ci sono sistemi e persone che «non ne sapranno nulla per giorni, settimane e mesi», per esempio blog gestiti da privati che potrebbero essere usati per diffondere virus o spam.