Gli attaccanti di PHP2Shell tentano di creare un botnet DDoS Potassium, finora falliti
- Gli aggressori stanno cercando di utilizzare PHP2Shell per installare la botnet DDoS Potassium derivata da Mirai.
- I ricercatori hanno osservato tentativi di sfruttamento diffusi, ma non ci sono compromissioni su larga scala confermate pubblicamente al 23 ottobre.
- Sono ora disponibili exploit funzionanti in produzione, aumentando la pressione sugli amministratori affinché patchino le installazioni PHP vulnerabili.
“viable and very serious.”
— John Hultquist, Google, citato da The Record.
Perché una botnet DDoS preoccupa gli operatori di hosting e criptovalute
La minaccia più ampia è già considerevole. Cloudflare ha registrato 935 attacchi DDoS superiori a 1 terabit al secondo durante il primo semestre del 2026.
Questi attacchi non sono stati attribuiti a Potassium. Tuttavia, illustrano il disruption che colpisce i provider di hosting, i processori di pagamento e le piattaforme crypto. Non sono stati collegati perdite finanziarie a PHP2Shell.
Il nuovo advisory di PHP e cosa monitorare
Il 23 ottobre, PHP ha segnalato un altro problema, CVE-2026-115560, relativo a una configurazione dell'applicazione insolita. In attesa di una risoluzione ufficiale, consiglia di impostare session.upload_progress.enabled=0, che costituisce anche una mitigazione per CVE-2026-109619.
Gli amministratori dovrebbero installare PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35, riavviare i worker e monitorare i download sospetti.
Il CISO di Cobalt Andrew Obadiaru ha avvertito che questo periodo di quiete è:
“borrowed time.”
— Andrew Obadiaru, Cobalt, citato da The Record.
“garbage and nonfunctional.”
— Spencer McIntyre, VulnCheck, citato da The Record.
Questa protezione non è infallibile. VulnCheck ha sviluppato un exploit privato in grado di bypassare l'ASLR su PHP 8.4.26 configurato per la produzione, ampliando successivamente il supporto a determinate build delle serie 8.4 e 8.5.
John Hultquist di Google ha definito la minaccia:
“viable and very serious.”
— John Hultquist, Google, citato da The Record.
Perché una botnet DDoS preoccupa gli operatori di hosting e criptovalute
La minaccia più ampia è già considerevole. Cloudflare ha registrato 935 attacchi DDoS superiori a 1 terabit al secondo durante il primo semestre del 2026.
Questi attacchi non sono stati attribuiti a Potassium. Tuttavia, illustrano il disruption che colpisce i provider di hosting, i processori di pagamento e le piattaforme crypto. Non sono stati collegati perdite finanziarie a PHP2Shell.
Il nuovo advisory di PHP e cosa monitorare
Il 23 ottobre, PHP ha segnalato un altro problema, CVE-2026-115560, relativo a una configurazione dell'applicazione insolita. In attesa di una risoluzione ufficiale, consiglia di impostare session.upload_progress.enabled=0, che costituisce anche una mitigazione per CVE-2026-109619.
Gli amministratori dovrebbero installare PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35, riavviare i worker e monitorare i download sospetti.
Il CISO di Cobalt Andrew Obadiaru ha avvertito che questo periodo di quiete è:
“borrowed time.”
— Andrew Obadiaru, Cobalt, citato da The Record.
Gli aggressori stanno cercando di trasformare i server PHP vulnerabili in bot Potassium, parte di una rete derivata da Mirai progettata per attacchi di negazione del servizio distribuita (DDoS). Ma finora hanno incontrato delle difficoltà. The Hacker News ha riportato il 23 ottobre che non erano stati confermati compromessi dei server.
Ci sono state due importanti vulnerabilità PHP che hanno costituito i bersagli principali degli attacchi informatici: CVE-2026-109618 e CVE-2026-109619, entrambe con un punteggio di severità di 9,2 su 10. PHP ha reso i patch disponibili il 21 ottobre, ma a quel punto gli hacker avevano già iniziato a lanciare attacchi contro queste vulnerabilità.
Quello che Sophos ha visto e poi ritrattato
Arctic Wolf ha segnalato che tentativi di esecuzione di comandi e download di malware sono stati attribuiti a Potassium. Un'altra valutazione eseguita in un ambiente sandbox ha rivelato un campione diverso che si è connesso a thunder.godofthunder[.]st tramite l'IP 134.199.154[.]64 sulla porta TCP 50792, attaccando due host ucraini.
Ciò ha dimostrato il potenziale del malware, ma non che gli aggressori abbiano violato i server di produzione. Il 22 ottobre, Sophos ha ritrattato un precedente annuncio di successo, dichiarando a The Record di aver osservato solo tentativi di attacco non riusciti.
Milioni di sondaggi, zero intrusioni confermate
Tuttavia, le cifre indicano l'entità con cui gli aggressori stanno sondando la rete. Imperva ha registrato 482.342 tentativi di richiesta in 122.311 sessioni mirate a 21.998 siti in 103 paesi nell'arco di 24 ore.
Nel frattempo, Censys ha segnalato di aver rilevato oltre 41 milioni di servizi PHP esposti a Internet che eseguivano versioni vulnerabili e solo circa 1 milione di istanze in cui era stata applicata una versione patchata del software entro il 22 ottobre. I numeri relativi agli incidenti di scansione o al numero di individui esposti non sono sufficienti a dimostrare che si sia verificato un effettivo compromesso.
comandi 24 flood e un interruttore ENS dormiente
Arctic Wolf ha rivelato che 24 comandi di inondazione includono tutti i tipi di ICMP, TCP, UDP e Open VPN. Sono presenti anche funzionalità di ricerca del servizio nomi Ethereum (ENS) nelle versioni ARM e x86-64 di Potassium, ma questa è stata disattivata in entrambi i casi.
Ethereum e ENS non sono stati compromessi. Tuttavia, l'attivazione delle funzionalità di ricerca ENS può rendere più difficile bloccare i server di comando con qualsiasi utilizzo di controlli DNS e IP convenzionali.
Proof of Concept (PoC) spazzatura contro un exploit privato funzionante
Molti exploit proof-of-concept (PoC) pubblici falliscono contro le difese in produzione, in particolare contro la randomizzazione dello spazio degli indirizzi (ASLR). Spencer McIntyre di VulnCheck ha descritto molti campioni circolanti come:
“garbage and nonfunctional.”
— Spencer McIntyre, VulnCheck, citato da The Record.
Questa protezione non è infallibile. VulnCheck ha sviluppato un exploit privato in grado di bypassare l'ASLR su PHP 8.4.26 configurato per la produzione, ampliando successivamente il supporto a determinate build delle serie 8.4 e 8.5.
John Hultquist di Google ha definito la minaccia:
“viable and very serious.”
— John Hultquist, Google, citato da The Record.
Perché una botnet DDoS preoccupa gli operatori di hosting e criptovalute
La minaccia più ampia è già considerevole. Cloudflare ha registrato 935 attacchi DDoS superiori a 1 terabit al secondo durante il primo semestre del 2026.
Questi attacchi non sono stati attribuiti a Potassium. Tuttavia, illustrano il disruption che colpisce i provider di hosting, i processori di pagamento e le piattaforme crypto. Non sono stati collegati perdite finanziarie a PHP2Shell.
Il nuovo advisory di PHP e cosa monitorare
Il 23 ottobre, PHP ha segnalato un altro problema, CVE-2026-115560, relativo a una configurazione dell'applicazione insolita. In attesa di una risoluzione ufficiale, consiglia di impostare session.upload_progress.enabled=0, che costituisce anche una mitigazione per CVE-2026-109619.
Gli amministratori dovrebbero installare PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35, riavviare i worker e monitorare i download sospetti.
Il CISO di Cobalt Andrew Obadiaru ha avvertito che questo periodo di quiete è:
“borrowed time.”
— Andrew Obadiaru, Cobalt, citato da The Record.
Non limitarti a leggere le notizie sulle criptovalute. Comprendile. Iscriviti alla nostra newsletter. È gratuita.
Domande frequenti
Cos'è Potassium?
Potassium è una variante della botnet Mirai segnalata per la prima volta da Synthient nel marzo 2026, che secondo Sophos ora include codice downloader e di interruzione di rete e può eseguire attacchi DDoS su protocolli tra cui ICMP, TCP, UDP e OpenVPN.
Qualche server è stato effettivamente compromesso tramite PHP2Shell?
No. Sophos ha ritrattato una precedente affermazione relativa a un'esecuzione con successo dell'exploit il 22 ottobre, e Google, VulnCheck e altri ricercatori affermano di aver osservato tentativi, ma non vi sono conferme di esecuzione remota del codice.
Quali versioni di PHP risolvono le vulnerabilità?
PHP ha rilasciato correzioni il 21 ottobre nelle versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35; si raccomanda agli amministratori di applicare le patch ai sistemi esposti a Internet per primi e di verificare che i processi dei web server eseguano il runtime corretto.
Disclaimer. Le informazioni fornite non costituiscono consulenza finanziaria. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti basati sulle informazioni presenti in questa pagina. Si raccomanda vivamente di effettuare ricerche autonome e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Micah Abiodun
Micah Abiodun utilizza al meglio la sua laurea magistrale in Ingegneria Ambientale e Gestione (MSc) presso l'Università Tecnologica di Tallinn (TalTech) per affinare le notizie su contenuti e previsioni dei prezzi su Cryptopolitan. Ora al suo 7° anno nello spazio mediatico crypto, copre le principali criptovalute, altcoin, DeFi, stablecoin, trend macroeconomici e tecnologie emergenti.
