Il PHP Group ha rilasciato il 22 ottobre 2026 gli aggiornamenti per correggere due vulnerabilità critiche, denominate PHP2Shell, che consentono l’esecuzione di codice da remoto senza autenticazione. Le falle sono state individuate con il contributo di Calif e del modello GPT-5.6 Sol di OpenAI, nell’ambito di una collaborazione che ha coinvolto anche PHP Foundation, Wiz e Cloudflare.
Il rischio riguarda una parte molto ampia del web: PHP è infatti utilizzato da oltre il 70% dei siti mondiali, compresi quelli basati su WordPress, Drupal e Joomla. Amministratori di sistema e sviluppatori sono invitati a installare con urgenza le versioni aggiornate del linguaggio.
PHP2Shell permette l’esecuzione di codice senza autenticazione
Le vulnerabilità sono identificate dai codici CVE-2026-109618 e CVE-2026-109619. Secondo le informazioni diffuse dal team di sicurezza, un attaccante potrebbe sfruttarle per eseguire codice arbitrario sui server PHP senza dover effettuare l’autenticazione.
Una compromissione di questo tipo può consentire di intervenire sui sistemi che ospitano applicazioni web, alterare i contenuti pubblicati o utilizzare l’infrastruttura colpita per ulteriori attività dannose. La presenza delle falle in un componente tanto diffuso aumenta il potenziale impatto della minaccia.
PHP2Shell è presente a partire da PHP 5.4. Le versioni precedenti alla 8.1 non ricevono più aggiornamenti ufficiali, rendendo più complessa la gestione dei sistemi legacy ancora in produzione. Per questi ambienti, il team di sicurezza ha comunque predisposto backport minimi del codice sorgente destinati a PHP 7.4, 8.0 e 8.1.
Le versioni di PHP da installare subito
Le correzioni sono state incluse nelle release più recenti dei principali rami ancora supportati. Gli amministratori devono verificare la versione installata e procedere all’aggiornamento a una delle seguenti release:
- PHP 8.5.12;
- PHP 8.4.27;
- PHP 8.3.36;
- PHP 8.2.35.
Chi utilizza versioni non più supportate può valutare l’applicazione dei backport pubblicati dal team di sicurezza, ma l’intervento richiede competenze tecniche e una verifica accurata della compatibilità con l’ambiente operativo. La soluzione preferibile resta la migrazione verso un ramo di PHP aggiornato e ufficialmente mantenuto.
Prima dell’installazione, i responsabili IT dovrebbero inoltre verificare la presenza di backup aggiornati, testare la nuova versione in un ambiente di staging e controllare i log dei server per individuare eventuali attività anomale.
GPT-5.6 Sol e la ricerca delle vulnerabilità
OpenAI ha attribuito a Calif la scoperta delle due falle, realizzata con l’aiuto di GPT-5.6 Sol. Il caso si inserisce nel crescente utilizzo dell’intelligenza artificiale per l’analisi del codice, la ricerca di comportamenti imprevisti e l’individuazione di problemi di sicurezza.
Il modello di OpenAI è stato impiegato durante l’analisi che ha portato all’identificazione delle vulnerabilità, mentre la fase successiva ha richiesto il coordinamento tra i manutentori di PHP e diverse aziende del settore. Tra i soggetti coinvolti figurano PHP Foundation, Calif, OpenAI, Wiz e Cloudflare.
La collaborazione rientra nell’iniziativa Patch the Planet di OpenAI, alla quale partecipano Calif e PHP Foundation. Il progetto mira a favorire la scoperta e la correzione di vulnerabilità presenti in software ampiamente utilizzati.
Il ruolo dell’AI nella sicurezza non riguarda soltanto PHP. Strumenti basati su modelli generativi come GPT, ChatGPT, Claude di Anthropic, Gemini di Google e Perplexity vengono sempre più considerati per attività di analisi e assistenza agli sviluppatori. La responsabilità della verifica, della correzione e della distribuzione delle patch rimane tuttavia affidata ai team tecnici e ai manutentori dei progetti.
Patch anticipate dopo la violazione dell’embargo
La pubblicazione degli aggiornamenti era inizialmente prevista per il 22 ottobre. La distribuzione è stata però anticipata dopo che Chainguard non ha rispettato l’embargo concordato, rendendo necessario procedere con il rilascio delle patch.
La divulgazione anticipata riduce il tempo disponibile per preparare gli aggiornamenti, mentre gli amministratori devono intervenire su sistemi spesso distribuiti e complessi. Il rischio è maggiore per le installazioni PHP esposte direttamente a Internet e per i servizi che utilizzano CMS diffusi senza un processo regolare di manutenzione.
Poiché PHP è presente su una quota molto elevata dei siti web, non tutti gli operatori riusciranno ad applicare rapidamente le correzioni. Secondo quanto riportato da Reuters, alcuni governi, ospedali e scuole europei hanno seguito le indicazioni del CERT-EU e, non potendo installare subito le patch, hanno scelto di spegnere temporaneamente i propri siti.
Aggiungi MRW alle tue fonti preferite su Google!
