Le vulnerabilità PHP2Shell attirano milioni di tentativi di attacco mentre l'IA accelera gli exploit
- La ricerca assistita dall'IA ha portato alla luce due gravi vulnerabilità di PHP, CVE-2026-109618 e CVE-2026-109619, che consentono l'esecuzione remota di codice non autenticata e la divulgazione di memoria; PHP le ha patchate il 21 ottobre.
- Cloudflare ha registrato milioni di tentativi di attacco e governi e aziende in tutto il mondo hanno disattivato i servizi, sebbene la PHP Foundation affermi che non si conoscano casi di esecuzione di codice con successo.
- L'IA sta ora riducendo il tempo tra la divulgazione e lo sfruttamento effettivo delle vulnerabilità, esercitando pressione su chiunque esegua PHP affinché applichi le patch in ore, non in giorni.
Il 22 ottobre 2026, milioni di hacker hanno tentato di sfruttare due gravi vulnerabilità in PHP. Governi e aziende hanno dovuto disattivare alcuni sistemi online mentre team di esperti si affrettavano a implementare patch di emergenza. Questo dimostra quanto poco tempo abbiano ora gli specialisti della cybersecurity per contrastare vulnerabilità serie.
Due bug 9.2-rated che possono consegnare un server
Le vulnerabilità, note collettivamente come PHP2Shell, sono tracciate come CVE-2026-109618 e CVE-2026-109619. Entrambe hanno un punteggio di gravità critico di 9,2 su 10. Il 21 ottobre 2026, PHP ha rilasciato quattro correzioni per le versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35.
Lo NCSC del Regno Unito afferma che i bug possono corrompere la memoria interna di PHP. In determinate condizioni, un attaccante potrebbe eseguire codice senza effettuare il login. Wiz ha inoltre dimostrato come dati sensibili, incluse password e chiavi API, potessero fuoriuscire dalla memoria.
PHP alimenta il 69,3% dei siti web con un linguaggio lato server identificabile, secondo W3Techs. Questo dimostra quanto PHP sia diffuso, non quanti siti siano stati compromessi.
La finestra tra patch ed exploit si sta chiudendo
Frontier AI ha aiutato i ricercatori a mettere insieme gli exploit per vulnerabilità nascoste in PHP da anni. Cryptopolitan ha riportato che le patch sono arrivate un giorno prima della scadenza dopo la fuga di dettagli tecnici.
I segni dell'attacco erano visibili prima che venissero segnalati altri attacchi. Il 17 ottobre 2026, quattro giorni prima della divulgazione, AWS ha identificato il tentativo nei log del suo honeypot MadPot. Non è noto se l'attacco sia andato a buon fine. CJ Moses, capo della sicurezza di AWS, ha avvertito che le minacce potrebbero essere create in ore o addirittura minuti dopo la divulgazione da parte di attaccanti che utilizzano l'IA.
Migliaia di sondaggi sono diventati milioni in un giorno
Matthew Prince, CEO di Cloudflare, ha rivelato che migliaia di tentativi sono stati effettuati nelle 10 ore precedenti alla divulgazione del 21 ottobre. Non ci sono voluti più di 45 minuti perché i tentativi si intensificassero fino a raggiungere decine di migliaia. In sole due ore successive, i tentativi hanno superato la soglia delle centinaia di migliaia. E poco dopo, sono stati registrati milioni di tentativi. Si trattava di tentativi, non di violazioni confermate.
Cloudflare aveva già implementato protezioni firewall, ma questo non sostituiva la necessità di applicare le patch.
Il 22 ottobre, Reuters ha riportato sospensioni precauzionali dei servizi presso Nomura, Mitsubishi UFJ, ANA, East Japan Railway e Orange. Anche i siti web governativi sono stati temporaneamente offline in Finlandia, nei Paesi Bassi e in Francia.
Trovare ogni copia di PHP è la parte difficile
PHP può nascondersi all'interno di apparecchiature che gli amministratori raramente controllano. L'inventario del NCSC olandese include prodotti di terze parti in fase di revisione, tra cui le offerte Fortinet. Searchlight Cyber ha rilasciato uno scanner per identificare gli host vulnerabili. Testa deliberatamente l'esaurimento della memoria, quindi il suo utilizzo richiede cautela.
La direttrice esecutiva della PHP Foundation, Elizabeth Barron, ha dichiarato a WIRED:
Per quanto ne sappiamo, non ci sono stati tentativi riusciti di esecuzione remota di codice.
Dove si stanno già dirigendo le spese per la sicurezza
Secondo la previsione del 16 settembre di Gartner, la spesa globale per la cybersecurity basata sull'IA raggiungerà i 51,3 miliardi di dollari nel 2026 e quasi 86 miliardi nel 2027. Si prevede che la spesa mondiale per l'IA raggiunga i 2,7 trilioni di dollari nel 2026.
PHP2Shell non era responsabile di quelle spese previste. Piuttosto, questo caso è una grande illustrazione di quanto sia importante per le aziende essere consapevoli del software che eseguono, applicare rapidamente le patch alle vulnerabilità e rilevare le minacce molto prima che i loro effetti dannosi si facciano sentire.
Non limitarti a leggere le notizie sulle criptovalute. Comprendile. Iscriviti alla nostra newsletter. È gratuita.
Domande frequenti
Cos'è PHP2Shell?
PHP2Shell è il soprannome dato a due critiche vulnerabilità PHP, CVE-2026-109618 e CVE-2026-109619, entrambe valutate 9.2 su 10, che potrebbero consentire a un attaccante non autenticato di eseguire codice sui server o leggere la memoria sensibile dei processi, come password e chiavi API.
Quanto rapidamente sono aumentati gli attacchi dopo la divulgazione?
Il CEO di Cloudflare, Matthew Prince, ha dichiarato che la rete ha registrato migliaia di tentativi di sfruttamento nelle 10 ore precedenti l'annuncio pubblico, decine di migliaia entro 45 minuti, centinaia di migliaia entro due ore e milioni successivamente.
Alcuni sistemi sono stati effettivamente violati?
Non è stata confermata alcuna compromissione. AWS afferma di aver rilevato un tentativo di sfruttamento datato 17 ottobre ma non può confermare che sia andato a buon fine, mentre la Fondazione PHP dichiara di non essere a conoscenza di alcun caso di esecuzione remota di codice con successo.
Disclaimer. Le informazioni fornite non costituiscono consulenza finanziaria. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti basati sulle informazioni presenti in questa pagina. Si raccomanda vivamente di effettuare ricerche autonome e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Ibiam Wayas
Ibiam Wayas si occupa di notizie sul crypto dal 2019. Si è laureato in Informatica presso l'Open University of Nigeria. I suoi lavori sono apparsi su varie piattaforme di notizie crypto, tra cui Coinfomania, Crypto News Australia e AltcoinBuzz. Sfruttando il suo background in Informatica, ora si concentra su notizie relative a crypto, robotica e longevità.
