La CISA, l’agenzia statunitense per la sicurezza informatica e delle infrastrutture, ha aggiunto il 26 ottobre le due vulnerabilità di PHP note come PHP2Shell al suo catalogo Known Exploited Vulnerabilities (KEV), l’elenco delle falle per cui esistono prove di sfruttamento reale. Con l’inserimento di PHP2Shell nel catalogo KEV, la CISA conferma ufficialmente gli attacchi e chiede alle agenzie federali civili degli Stati Uniti di intervenire entro il 29 ottobre. Le falle, identificate come CVE-2026-109618 e CVE-2026-109619, consentono a un attaccante non autenticato di eseguire codice da remoto sui server che usano PHP.
PHP2Shell nel catalogo KEV della CISA: cosa cambia
Nel catalogo la CVE-2026-109618 è descritta come una corruzione della memoria in condizioni di memoria esaurita, mentre la CVE-2026-109619 riguarda uno stato interno della richiesta non aggiornato correttamente: in entrambi i casi il risultato è l’esecuzione di codice da remoto senza autenticazione. Contestualmente la CISA ha aggiornato l’allerta pubblicata il 21 ottobre, che invitava già tutte le organizzazioni ad applicare subito le patch.
Fino a poche ore prima le due falle non comparivano nel catalogo, come avevamo segnalato raccontando i tentativi di sfruttamento registrati sui server esca di un ricercatore. Nella scheda del catalogo la CISA indica come non noto, al momento, l’uso delle vulnerabilità in campagne ransomware.
Scadenza al 29 ottobre e verifica forense
L’inserimento nel catalogo fa scattare gli obblighi della direttiva operativa vincolante BOD 26-04, che impone alle agenzie federali civili statunitensi di dare priorità alle falle presenti nel catalogo sui sistemi esposti. Per PHP2Shell la scadenza è fissata al 29 ottobre ed è richiesta anche una verifica forense: le agenzie devono controllare se i sistemi siano stati compromessi prima dell’applicazione della patch. Se le mitigazioni non sono disponibili, la CISA indica di sospendere l’uso del prodotto.
La direttiva vale solo per le agenzie federali americane, ma la CISA invita tutte le organizzazioni a dare priorità alle vulnerabilità del catalogo. Il tema riguarda da vicino anche l’Italia: secondo i dati diffusi dall’ACN, la grande maggioranza dei servizi PHP esposti nel nostro Paese risultava vulnerabile.
Quali installazioni sono a rischio
Secondo la CISA le falle interessano tutte le installazioni PHP che rispondono a richieste web, comprese Apache con mod_php, la configurazione che PHP considera a rischio più alto, PHP-FPM, php-cgi, FrankenPHP e LiteSpeed. Le correzioni sono contenute nelle versioni PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. L’agenzia ricorda che PHP è spesso un componente di altri software e che la sua presenza può non essere immediatamente visibile. Per i dettagli tecnici sulle due falle rimandiamo al nostro approfondimento sulle vulnerabilità critiche di PHP.
Cosa fare subito
- Fare l’inventario di tutti i sistemi che usano qualsiasi versione di PHP, inclusi i software che lo integrano senza dichiararlo in modo evidente.
- Aggiornare subito a PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35, partendo dai sistemi esposti su Internet.
- Chi non può aggiornare subito o usa ancora PHP 8.1 o versioni precedenti non più supportate dovrebbe, secondo la CISA, mettere offline i sistemi finché non sono aggiornati.
- Un web application firewall può offrire una protezione parziale in attesa della patch, ma non sostituisce l’aggiornamento.
- Controllare i sistemi alla ricerca di attività sospette, come processi PHP che avviano shell o scaricano strumenti, anche con la regola di rilevamento SIGMA pubblicata dalla CISA.
Fonti: CISA, aggiunta al catalogo KEV; CISA, allerta sulle vulnerabilità critiche di PHP; CISA, catalogo Known Exploited Vulnerabilities.
