In questo articolo Indice dei contenuti 3 sezioni
Il PHP Group ha rilasciato le patch per due gravi vulnerabilità chiamate PHP2Shell, falle che permettono di eseguire codice da remoto senza alcuna autenticazione. A individuarle sono stati i ricercatori di Calif con il supporto di GPT 5.6 Sol, il modello di intelligenza artificiale di OpenAI, ed è stata proprio l’azienda californiana a svelare questo dettaglio. Per utenti e amministratori l’indicazione è chiara e non lascia margini di attesa: installare immediatamente le ultime versioni del popolare linguaggio di programmazione.
La vicenda tocca da vicino una fetta enorme del web, ed è proprio questo a renderla così delicata. Le due falle sono state scoperte all’inizio di agosto e da allora diverse realtà del settore hanno lavorato insieme per analizzare il problema e arrivare a una soluzione. Una collaborazione ampia che ha coinvolto nomi di primo piano della sicurezza informatica.
Perché PHP2Shell preoccupa così tanto
Il punto centrale è la diffusione di PHP. Il linguaggio viene impiegato da oltre il 70% dei siti mondiali, compresi quelli costruiti su CMS molto noti come WordPress, Drupal e Joomla. Sfruttando PHP2Shell i cybercriminali potrebbero eseguire codice arbitrario sui server senza dover superare alcun controllo di accesso, con conseguenze facili da immaginare e potenzialmente disastrose.
Per studiare le due falle e preparare le correzioni si è creata una stretta collaborazione tra PHP Foundation, Calif, OpenAI, Wiz e Cloudflare. Calif e PHP Foundation fanno parte dell’iniziativa Patch the Planet promossa da OpenAI, ed è all’interno di questo contesto che il modello GPT 5.6 Sol ha dato una mano ai ricercatori nel portare alla luce i difetti.
Sul calendario c’è stato però un imprevisto. Secondo quanto spiegato da PHP Foundation, gli aggiornamenti avrebbero dovuto arrivare il 22 ottobre, ma Chainguard non ha rispettato l’embargo concordato. A quel punto la distribuzione è stata anticipata di un giorno, al 21 ottobre 2026.
Le versioni da installare e i backport per quelle vecchie
Le due falle sono presenti a partire da PHP 5.4, quindi coprono un arco di tempo molto lungo. Le versioni precedenti alla 8.1 però non ricevono più aggiornamenti ufficiali. Le correzioni sono state integrate in PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35, ed è su queste release che utenti e responsabili IT dovrebbero spostarsi con urgenza.
Trattandosi di software libero, chi ha competenze adeguate può eventualmente intervenire sul codice delle edizioni più datate. Vista la gravità della situazione, il team di sicurezza di PHP ha comunque messo a disposizione dei backport minimi del codice sorgente per PHP 7.4, 8.0 e 8.1, così da offrire una strada percorribile anche a chi non può ancora aggiornare alle versioni supportate.
Il rischio di attacchi e la scelta di spegnere i siti
Con una base installata pari al 70% dei siti nel mondo, è difficile pensare che tutti applichino gli aggiornamenti in tempi rapidi. Proprio per questo è quasi certo che arriveranno attacchi informatici pensati per sfruttare le vulnerabilità PHP2Shell sui server rimasti scoperti. Il tempo che passa tra la pubblicazione delle patch e la loro effettiva installazione diventa così il momento più delicato.
In Europa qualcuno ha già scelto la via più drastica. Alcuni governi, ospedali e scuole hanno seguito il consiglio del CERT EU e, non potendo applicare subito le correzioni, hanno deciso di spegnere temporaneamente i propri siti web.
Fonte: TecnoAndroid