PHP2Shell CVE-2026-109618 e 109619: sfruttamento confermato e ingresso in KEV, da verificare anche appliance e prodotti con PHP integrato
Il 28 ottobre 2026 ACN ha esteso l'allerta su PHP2Shell ai prodotti di terze parti che incorporano PHP, cioè applicazioni, apparati di rete e dispositivi con interfaccia web di gestione: anche lì le CVE-2026-109618 e CVE-2026-109619, entrambe con CVSS v4.0 pari a 9.2, possono consentire a un attaccante remoto senza credenziali di eseguire codice con i privilegi del processo PHP. Lo stesso giorno ACN ha aggiornato il proprio alert del 21 ottobre per lo sfruttamento rilevato in rete di entrambe le vulnerabilità. Due giorni prima, il 26 ottobre, la CISA le aveva inserite nel catalogo KEV con scadenza di remediation al 29 ottobre per le agenzie federali civili statunitensi, chiedendo oltre alla patch il triage forense previsto dalla direttiva BOD 26-04, cioè la ricerca di una compromissione già avvenuta. Rispetto a quanto avevamo scritto in un nostro precedente alert del 25 ottobre su PHP2Shell e le CVE-2026-109618 e 109619 del motore PHP, quando le esecuzioni di codice riuscite documentate riguardavano solo sistemi esca e le falle non erano ancora in KEV, cambiano quindi tre cose: la conferma dello sfruttamento da parte delle autorità, l'urgenza fissata dal catalogo CISA e il perimetro da controllare, che non si ferma ai server web gestiti in proprio.
Il volume degli attacchi è misurato dal Delft Threat Intelligence Lab dell'Università di Delft, che pubblica in tempo reale i dati dei propri honeypot: fra il 21 ottobre e il 2 novembre ha registrato 83.035 richieste di sfruttamento da 787 indirizzi IP in 73 paesi, e 181 di questi indirizzi hanno inviato codice o un programma di download (dropper). Il 28 ottobre la CISA ha aggiunto al catalogo KEV anche una falla del kernel Linux, la CVE-2026-46300 nota come Fragnesia, scrivendo che può essere concatenata con PHP2Shell per installare webshell PHP ed eseguire comandi come root: l'accesso ottenuto con i privilegi del server web diventa così il controllo completo della macchina. Sul fronte dell'attribuzione, la società di threat intelligence Cyfirma, in un report aggiornato al 29 ottobre, attribuisce con alta confidenza una delle campagne a operatori nordcoreani dell'ecosistema Lazarus, con finalità sia economiche sia di spionaggio. Cyfirma dice di aver ottenuto la lista dei 216 bersagli originari, distribuiti in dieci paesi fra Asia-Pacifico, Nord America e Medio Oriente, mentre l'allargamento a 581 sistemi è una dichiarazione degli stessi attaccanti, non verificata; precisa inoltre che comparire nella lista indica un bersaglio e non una compromissione, e che chi espone versioni di PHP datate deve considerarsi nel mirino anche senza esservi elencato.
Il punto nuovo dell'alert di ACN riguarda il PHP che l'amministratore non vede. Molti prodotti incorporano un proprio interprete PHP, che non si aggiorna con i pacchetti del sistema operativo e attende la correzione del fornitore. Per orientarsi ACN rimanda all'inventario pubblicato su GitHub dal centro nazionale per la sicurezza informatica dei Paesi Bassi (NCSC-NL), che al 2 novembre censisce 929 prodotti: 165 corretti, 217 vulnerabili, 345 ancora in analisi e 201 non affetti. Fra quelli già corretti ci sono le interfacce di gestione di Citrix NetScaler ADC e Gateway, le interfacce web dei firewall Check Point, i sistemi operativi dei NAS QNAP (QTS e QuTS hero) e le console di pfSense e OPNsense; fra quelli dichiarati affetti dal fornitore e ancora senza correzione, al 23 ottobre, le console on-premise di Trend Micro Apex One e Apex Central. Per le applicazioni web che girano sul PHP del server, come Moodle, Zabbix, GLPI, Nextcloud o Roundcube, l'inventario chiarisce che l'esposizione dipende dall'interprete sottostante e non dalla versione dell'applicazione. ACN ha poi segnalato due casi specifici: il 26 ottobre IceWarp Server, la cui versione 14.3.0.13 del 22 ottobre non include il PHP corretto e richiede un pacchetto da sostituire a mano in attesa delle versioni 14.3.0.14 e 14.2.0.17, e il 30 ottobre ESET Endpoint Encryption Server, corretto dalla versione 3.8.7.0. Entrambi i vendor dichiarano di non conoscere attacchi rivolti specificamente ai propri prodotti, e l'inventario stesso avverte di non essere esaustivo: un prodotto assente dalla lista non è per questo al sicuro.
A doversene preoccupare, oltre a chi gestisce server web con PHP esposti su internet, è chi ha già aggiornato i server ma non ha censito gli apparati: firewall e gateway con console web, NAS, sistemi di posta come IceWarp, console di sicurezza e gestione degli endpoint, pannelli di hosting come Plesk e cPanel. Nelle scuole e nelle università italiane è molto diffuso Moodle, negli uffici IT della PA lo sono Zabbix e GLPI: tutti vanno verificati sul PHP che li esegue. Il rischio più alto riguarda le console di gestione raggiungibili da internet, che spesso sono proprio la parte del prodotto scritta in PHP. Resta aperta la CVE-2026-115560: al 2 novembre PHP non ha ancora pubblicato il rilascio ordinario che la corregge, e fino ad allora l'unica misura è disattivare il monitoraggio dell'avanzamento degli upload di sessione, anche sui sistemi già aggiornati per le altre due falle.
- Versioni affette: PHP 8.5 precedenti alla 8.5.12, 8.4 precedenti alla 8.4.27, 8.3 precedenti alla 8.3.36 e 8.2 precedenti alla 8.2.35, più i rami 8.1 e precedenti fuori supporto; tutti i prodotti di terze parti che incorporano una versione di PHP affetta, fino alla correzione del rispettivo fornitore, fra cui IceWarp Server on-premise (rami 14.3.0.x, 14.2.0.x, 14.1.0.x, 14.0.0.x e 13.0.3.x senza il pacchetto PHP aggiornato) ed ESET Endpoint Encryption Server precedente alla 3.8.7.0. La CVE-2026-115560 riguarda anche le versioni di PHP corrette il 21 ottobre, in presenza di particolari configurazioni dell'applicazione.
- Azione raccomandata: completare l'aggiornamento dei server PHP a 8.5.12, 8.4.27, 8.3.36 o 8.2.35, o ai pacchetti corretti della distribuzione, riavviando PHP-FPM o Apache; censire i prodotti e gli apparati che integrano PHP, partendo da quelli con interfaccia web esposta, e confrontarli con l'inventario NCSC-NL e con gli advisory dei fornitori; applicare le versioni corrette dei vendor (per IceWarp il pacchetto PHP indicato nell'advisory del vendor, per ESET Endpoint Encryption Server la 3.8.7.0 o successive); per i prodotti ancora senza correzione, togliere da internet le console di gestione e limitarne l'accesso a reti e indirizzi fidati o a una VPN; impostare session.upload_progress.enabled a 0 nella configurazione principale di PHP e riavviare i worker, anche dove PHP è già aggiornato, fino al rilascio che corregge la CVE-2026-115560; cercare segni di compromissione a ritroso almeno dal 17 ottobre, data del primo tentativo noto, con attenzione a webshell, file applicativi modificati, processi non previsti e connessioni in uscita insolite, e sui sistemi Linux aggiornare anche il kernel per la CVE-2026-46300, che trasforma un accesso tramite PHP2Shell in privilegi di root.