PHP2Shell resta un’emergenza anche in Italia. Il CSIRT Italia dell’ACN ha diffuso il 25 ottobre 2026 un nuovo alert: secondo i dati di esposizione disponibili, l’81,9% dei servizi PHP con versione identificata risulta potenzialmente vulnerabile. L’Agenzia segnala inoltre una terza falla, la CVE-2026-115560, ancora priva di patch, e chiede ai gestori di intervenire con la massima tempestività.
Le prime due vulnerabilità, CVE-2026-109618 e CVE-2026-109619, erano state corrette pochi giorni fa con aggiornamenti d’emergenza, come avevamo raccontato nell’articolo su le due falle critiche di PHP. Il nuovo alert misura quanto lavoro resta da fare.
PHP2Shell in Italia: i numeri dell’ACN
Secondo il CSIRT Italia, al 25 ottobre 2026 sono stati rilevati nel Paese 741.523 servizi PHP. Di questi, 285.149 utilizzano versioni potenzialmente vulnerabili, cioè l’81,9% dei servizi per i quali è stato possibile identificare la versione. I dati di esposizione sono forniti da Censys.
L’Agenzia invita alla cautela nella lettura: le stime si basano sul numero di versione dichiarato, quindi possono includere sistemi già corretti dalle distribuzioni senza cambiare la versione visibile. Il dato resta comunque un segnale di elevata esposizione.
Le due falle già corrette hanno gravità critica (CVSS v4.0 pari a 9,2) e potrebbero permettere a un attaccante remoto non autenticato di eseguire codice arbitrario. Sono interessate le versioni 8.5 precedenti alla 8.5.12, 8.4 precedenti alla 8.4.27, 8.3 precedenti alla 8.3.36 e 8.2 precedenti alla 8.2.35, oltre alla 8.1 e alle versioni più vecchie, non più supportate.
CVE-2026-115560, la falla ancora senza patch
La terza vulnerabilità, segnalata dal progetto PHP, non è risolta dagli aggiornamenti già distribuiti. Secondo l’ACN può consentire l’esecuzione di codice da remoto solo in presenza di specifiche condizioni: il parametro session.serialize_handler, impostato inizialmente su php_binary o php_serialize, deve essere cambiato dinamicamente in php prima dell’avvio della sessione, e deve essere attivo il monitoraggio dell’avanzamento degli upload.
Per questo l’esposizione non si può stabilire solo dalla versione installata. In attesa della patch, la mitigazione indicata è disattivare session.upload_progress.enabled, impostandolo a 0.
Tentativi di sfruttamento e scansioni
L’ACN richiama «recenti tentativi di sfruttamento» e la disponibilità pubblica di proof of concept. The Hacker News riporta che la società CYFIRMA ha individuato una campagna di scansione, attribuita con confidenza moderata a operatori legati all’ecosistema del gruppo nordcoreano Lazarus, che sonda infrastrutture PHP in vari Paesi, Unione europea compresa. Si tratta di un’attribuzione della singola società di ricerca.
La stessa testata segnala che Palo Alto Networks Unit 42 ha ritirato la propria valutazione iniziale su un attacco a un ente governativo europeo: l’azienda non è in grado di confermare che l’accesso iniziale sia avvenuto tramite le CVE di PHP2Shell. Non è la prima volta che gruppi nordcoreani finiscono al centro delle cronache, come nel caso dell’operazione dell’FBI contro Famous Chollima.
Cosa fare
- Aggiornare subito PHP alle versioni corrette, verificando che l’aggiornamento sia davvero applicato, anche con i pacchetti delle distribuzioni.
- Impostare
session.upload_progress.enableda 0 e controllare che la configurazione sia attiva sui processi PHP. - Configurare i WAF in modalità blocco, se esistono regole specifiche; non sostituiscono la patch.
- Dare priorità ai sistemi esposti su Internet e, in assenza di mitigazioni efficaci, valutare di metterli offline.
- Chi usa un hosting gestito, ad esempio per un sito WordPress, dovrebbe chiedere conferma al provider.
Un server non aggiornato può diventare la porta d’ingresso per un furto di dati, come mostrano casi simili di server vulnerabili esposti online.
Fonti: ACN – CSIRT Italia, AL01/261025/CSIRT-ITA; The Hacker News.
