In questo articolo Indice dei contenuti 2 sezioni
Due vulnerabilità critiche nel cuore di PHP, il linguaggio che fa funzionare una fetta enorme dei siti del pianeta, hanno spinto gli sviluppatori a pubblicare il 21 ottobre 2026 aggiornamenti urgenti. Le falle, note insieme con il nome di PHP2Shell, consentono in determinate condizioni a un aggressore di eseguire comandi su un server semplicemente inviando richieste via internet. Entrambe raggiungono 9,2 su 10 nella scala CVSS, il metro usato per misurare la gravità dei difetti informatici.
L’allarme si spiega facilmente. PHP lavora sui server per generare le pagine, gestire gli accessi e scambiare informazioni con i database ed è alla base di piattaforme come WordPress, Drupal e Joomla, usate per siti, testate online e negozi digitali. Il problema tocca il funzionamento interno del linguaggio e può quindi colpire applicazioni molto diverse tra loro, anche quando il codice del singolo sito è stato scritto in modo corretto. Alcuni siti governativi e servizi pubblici europei sono stati spenti temporaneamente per precauzione. Secondo W3Techs, società che rileva le tecnologie impiegate sul web, PHP è presente nel 69,3% dei siti di cui riesce a identificare il linguaggio. L’esposizione reale però dipende dalla versione installata, dalla configurazione e dalle patch già applicate.
Due difetti nella memoria scovati con l’aiuto dell’IA
Il primo errore riguarda la gestione della memoria. Quando PHP esaurisce la quantità assegnata durante una richiesta può interrompere un’operazione lasciando dati interni preparati solo in parte, che vengono comunque considerati validi. Nel secondo caso un errore grave può lasciare riferimenti a una porzione di memoria già liberata e una richiesta successiva può sfruttare quelle informazioni residue fino a corrompere la memoria stessa. I ricercatori hanno dimostrato che questi comportamenti possono aprire la strada all’esecuzione di codice e, in alcuni scenari, alla lettura di dati sensibili.
Una delle scoperte porta la firma di Calif, società specializzata nella ricerca di falle. Il ricercatore Ryan A. ha analizzato PHP con il supporto di Gpt 5.6 Sol, modello di OpenAI pensato anche per problemi complessi di programmazione e sicurezza. Il lavoro è partito il 30 luglio e l’11 agosto ha portato alla segnalazione di un metodo concreto per eseguire codice a distanza, combinando analisi umana, conoscenze pregresse e verifiche assistite dal modello. L’indagine rientra in Patch the Planet, iniziativa di OpenAI per sostenere i controlli su programmi molto diffusi e coordinare le correzioni. Lo stesso 11 agosto anche i ricercatori interni di OpenAI hanno segnalato un problema con identica origine tecnica.
Per conto proprio Wiz, azienda che verifica la sicurezza dei sistemi cloud, ha individuato le vulnerabilità e le ha comunicate ai manutentori il 24 agosto. Il gruppo ha usato lo strumento Wiz Atlas insieme a Gpt 5.6 Sol e a Gemini 4 Argon di Google, che secondo la ricostruzione dell’azienda ha avuto un ruolo rilevante nel trovare i difetti, costruire gli attacchi di prova e verificare le correzioni. L’esecuzione di codice è stata riprodotta su installazioni di WordPress e Drupal. La PHP Foundation ha poi spiegato che i primi segnali del problema legato all’esaurimento della memoria erano emersi già nel 2024. Le possibili soluzioni rischiavano però di compromettere compatibilità, prestazioni ed estensioni e tra difficoltà decisionali e pochi specialisti disponibili si è accumulato un ritardo che la fondazione stessa ha definito un fallimento strutturale. Le dimostrazioni di agosto 2026 hanno reso sfruttabile con procedure concrete una debolezza che prima richiedeva passaggi molto complicati. Le decisioni su correzioni e tempi di rilascio sono comunque rimaste agli sviluppatori di PHP.
Patch anticipate e versioni da installare
Il 20 ottobre 2026 gli identificativi delle due falle hanno cominciato a circolare online e poco dopo è comparso anche un video dimostrativo diffuso per errore da Calif. Gli sviluppatori hanno così anticipato dal 22 al 21 ottobre la distribuzione degli aggiornamenti, lasciando ai fornitori il tempo di preparare i pacchetti. Nel frattempo Cloudflare ha attivato filtri contro gli attacchi e ha segnalato tentativi di sfruttamento rivolti ai propri clienti. Il Centro olandese per la cybersicurezza ha pubblicato indicazioni per individuare i sistemi esposti e gestire le patch, precisando che il traffico sospetto descrive tentativi di attacco mentre per accertare una compromissione servono analisi specifiche sui server.
Le versioni corrette sono PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12. Gli amministratori devono aggiornare il motore PHP sui server e controllare i pacchetti forniti dal proprio provider, mentre per le versioni più datate possono esserci correzioni dedicate o percorsi di migrazione. Anche Ubuntu ha annunciato aggiornamenti per le proprie versioni supportate.
Fonte: TecnoAndroid