In questo articolo Indice dei contenuti 3 sezioni
Almeno 650 URL delle Pubbliche Amministrazioni risultano potenzialmente esposti alle vulnerabilità PHP2Shell, le due falle che permettono di eseguire codice da remoto sui server senza alcuna autenticazione. Il dato emerge da una verifica preliminare condotta dagli esperti del CERT AgID, il Computer Emergency Response Team dell’Agenzia per l’Italia Digitale, sugli indirizzi censiti nell’Indice delle Pubbliche Amministrazioni. Il nodo è abbastanza semplice da spiegare: su quei siti non sembrano ancora installate le versioni recenti di PHP che chiudono le falle. E nel frattempo, come era facile immaginare, ha già cominciato a circolare il primo exploit funzionante.
Patch disponibili ma installazioni lente
Le due vulnerabilità sono state individuate dai ricercatori di Calif con l’aiuto di GPT 5.6 Sol e hanno un potenziale piuttosto serio, perché aprono la strada all’esecuzione di codice remoto senza che l’aggressore debba autenticarsi. Dal 21 ottobre sono disponibili le versioni aggiornate di PHP che correggono il problema, però la loro installazione richiede diversi giorni. Questo lascia aperta la porta a possibili attacchi informatici, a meno che il servizio o il sito web non venga messo offline. Secondo Check Point Software in Italia è a rischio il 10% delle organizzazioni.
Per aiutare gli enti a capire la propria situazione il CERT AgID aveva suggerito di usare il PHP2Shell Checker di OpenAI, uno strumento pensato per verificare quale versione di PHP sia installata. Il controllo avviene da remoto e si basa sull’analisi degli header HTTP, quindi non effettua alcun tentativo di sfruttare concretamente le falle.
Con ogni probabilità è proprio questo lo strumento impiegato per passare al setaccio gli indirizzi web inseriti nell’Indice delle Pubbliche Amministrazioni, noto anche come IPA. Trattandosi di un controllo HTTP passivo non è possibile avere la certezza assoluta della versione di PHP in uso partendo dai soli header. Ed è questo il motivo per cui si parla di siti “potenzialmente vulnerabili” e non di siti sicuramente compromessi o attaccabili.
Cosa dice la scansione sui siti della PA
La scansione effettuata il 22 ottobre ha restituito un quadro abbastanza preciso. Risultano potenzialmente vulnerabili almeno 650 URL, pari a circa il 3,2% degli indirizzi raggiungibili. Solo il 7% dei siti dichiara invece una versione aggiornata di PHP, una quota che dà l’idea di quanto lavoro resti ancora da fare sul fronte degli aggiornamenti.
Il CERT AgID non si è limitato a raccogliere i numeri. Le amministrazioni associate agli indirizzi segnalati sono state avvisate e invitate a controllare la versione di PHP effettivamente in esecuzione sui propri server, oltre che ad applicare senza indugio le patch di sicurezza già rilasciate.
Arriva il primo exploit funzionante
I dettagli tecnici sulle vulnerabilità PHP2Shell erano stati resi pubblici prima ancora che le correzioni fossero pronte, ma gli exploit circolati all’inizio non funzionavano. Diverse aziende avevano segnalato tentativi di sfruttamento delle falle, nessuno dei quali però era andato a buon fine.
Adesso lo scenario è cambiato. Due ricercatori di sicurezza hanno confermato la comparsa del primo exploit davvero efficace, capace di eseguire codice remoto su un server con PHP 8.4.26, mentre la versione aggiornata che risolve il problema è PHP 8.4.27. Per questo l’installazione delle patch è fortemente consigliata, così da evitare conseguenze gravi per i servizi esposti.
Fonte: TecnoAndroid