Il caso PHP2Shell: l’IA trova due falle critiche e i governi europei spengono servizi web per precauzione

Il 21 ottobre 2026 il gruppo di sicurezza di PHP ha pubblicato le versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35 per correggere due vulnerabilità battezzate PHP2Shell. Entrambe valgono 9,2 sulla scala CVSS v4.0 e consentono di eseguire codice da remoto. Secondo le stime di Wiz e di Cloudflare, PHP muove circa il 70 % dei siti del mondo, e nel giro di poche ore governi e amministrazioni europee hanno messo offline servizi web per prudenza.

Il tempo utile di un’impresa si misura ormai in ore: inventario, priorità e aggiornamento sono il lavoro che comincia con l’annuncio della patch.

Le due falle, in concreto

La prima, CVE-2026-109618, nasce dalla gestione della memoria esaurita. Se il sistema interrompe PHP mentre i dati interni di una richiesta sono inizializzati solo in parte, la fase di pulizia può trattarli come validi e aprire la strada all’esecuzione di codice. La seconda, CVE-2026-109619, riguarda uno stato globale rimasto in vita dopo la liberazione della memoria che lo ospitava: una richiesta successiva, gestita dallo stesso processo, può utilizzarlo prima che l’inizializzazione normale lo azzeri.

Il rischio più alto interessa mod_php, dove una richiesta priva di credenziali può far scattare l’attacco prima che giri il codice dell’applicazione. Sono coinvolti anche PHP-FPM, php-cgi, FrankenPHP e LiteSpeed. L’avviso del progetto indica l’aggiornamento come unica scelta sicura: le mitigazioni parziali, come l’impostazione memory_limit=-1, riducono la superficie e lasciano comunque esposta l’installazione. Google Cloud segnala come interessate le versioni dalla 5.4 alla 8.5.11.

PHP 8.1 e le versioni precedenti hanno concluso il ciclo di supporto. Per chi compila dai sorgenti il progetto ha pubblicato backport minimi per 7.4, 8.0 e 8.1, e diverse distribuzioni Linux e fornitori LTS offrono correzioni proprie. PHP 8.2 arriva a fine supporto il 31 dicembre 2026.

Come l’IA è arrivata prima

La scoperta passa dai modelli. Secondo OpenAI, Calif ha individuato una falla critica con GPT-5.6 Sol nell’ambito dell’iniziativa Patch the Planet, e Wiz ha trovato e segnalato in modo indipendente entrambe le vulnerabilità. Il Wall Street Journal, citato da Brit Brief, colloca ad agosto la scoperta del ricercatore di Calif Ryan Austin. Per circa due mesi OpenAI ha guidato una coalizione di manutentori, ricercatori e fornitori di sicurezza, con Cloudflare fra i partner e il coinvolgimento di CISA e dell’Ufficio del direttore nazionale per la cibersicurezza degli Stati Uniti. Google Cloud indica che Gemini 4 Argon ha contribuito a scoperta, sviluppo degli exploit, rilevamento degli attacchi e validazione delle patch.

L’azienda definisce il caso «uno dei problemi di sicurezza di maggior impatto degli ultimi tempi» e scrive che, a quanto risulta, i modelli di frontiera hanno trovato i difetti prima degli aggressori. Riconosce anche che le stesse capacità aiutano a costruire exploit in tempi brevi, e descrive come «Defender’s Window» il margine che separa la scoperta assistita dall’IA dall’attacco. Per allargarlo ha annunciato un miliardo di dollari di accesso sovvenzionato a Daybreak per i difensori in prima linea, abbonamenti a Codex per tutti i manutentori open source e una sponsorizzazione diretta della Rust Foundation.

Le prime ore

Il progetto PHP aveva preannunciato l’aggiornamento il 20 ottobre. Brit Brief riferisce che la release era prevista per giovedì ed è stata anticipata quando i dettagli delle correzioni sono trapelati online. Cloudflare ha registrato migliaia di tentativi di sfruttamento nelle dieci ore precedenti l’annuncio, decine di migliaia nei 45 minuti successivi e centinaia di migliaia entro due ore. Per il CEO Matthew Prince, al momento della pubblicazione dell’articolo erano arrivati a milioni.

Gli effetti si sono visti subito. Il sito del governo finlandese è stato disattivato in parte, e per precauzione sono usciti dalla rete anche i siti dei consigli comunali di Oxford e di Edinburgh, alcune pagine dei programmi della BBC e il sito dell’Office for Budget Responsibility. Newsweek aggiunge siti governativi nei Paesi Bassi, siti di enti locali in Francia e una piattaforma di comunicazione scolastica in Danimarca, mentre Wikimedia ha spento alcuni sistemi in via cautelativa.

Perché conta per le imprese italiane

La sequenza è nuova: scoperta con i modelli, coordinamento fra governi e fornitori, patch e un’ondata di tentativi che parte prima che i sistemi siano aggiornati. L’unità di misura per l’impresa diventa l’ora, mentre fino a poco tempo fa erano le settimane dalla pubblicazione dell’avviso. PHP alimenta WordPress e Magento, quindi il perimetro comprende siti vetrina, portali di e-commerce e gestionali web che molte imprese hanno affidato a fornitori esterni.

Le autorità indicano la stessa rotta. L’NCSC britannico chiede di installare la versione corretta e, se l’aggiornamento immediato è impossibile, di valutare lo spegnimento dei siti. La NSA americana raccomanda di prepararsi all’aggiornamento e di tenere offline il sistema fino alla mitigazione. L’NCSC olandese chiede di censire applicazioni e versioni, dare priorità ai sistemi esposti su internet e isolarli dalle reti pubbliche quando la correzione immediata è impossibile.

Il punto di partenza pratico

Le azioni valgono per qualunque impresa, a prescindere dai fornitori scelti. Si parte dall’inventario: ogni applicazione che gira su PHP, la versione del runtime e il responsabile dell’aggiornamento. Si portano per primi i sistemi raggiungibili da internet alla versione 8.5.12, 8.4.27, 8.3.36 o 8.2.35. Le installazioni fuori supporto richiedono il backport della distribuzione o del fornitore LTS, oppure una migrazione con una data. Dove l’aggiornamento immediato è impossibile, il sistema si isola dalla rete pubblica o si spegne. Dopo l’intervento conviene ruotare password, token e chiavi API conservati sui server esposti, perché la falla può far uscire anche memoria di processo con credenziali e certificati.

Resta da vedere quanto durerà il margine dei difensori. Se la stessa classe di modelli trova difetti in altri runtime con la stessa rapidità, aggiornare in poche ore diventerà un requisito di esercizio, e hosting e software house dovranno dimostrarlo con i numeri.

Autore

Pablo Liuzzi

Founder, Synthos Logic