Il 21 ottobre gli sviluppatori di PHP, il linguaggio su cui girano WordPress e buona parte dei siti web, hanno pubblicato aggiornamenti urgenti per due vulnerabilità critiche, chiamate PHP2Shell. Le falle permettono a un attaccante di eseguire codice sul server senza autenticarsi. A trovarle sono stati gruppi di ricercatori che hanno lavorato anche con modelli di intelligenza artificiale.
Cosa permettono le falle
Le vulnerabilità, registrate come CVE-2026-109618 e CVE-2026-109619, hanno un punteggio di gravità di 9,2 su 10 e consentono di eseguire codice con i privilegi del processo web. Sui server Apache con il modulo mod_php l’attacco funziona con la configurazione predefinita, prima ancora che parta il codice del sito, mentre con PHP-FPM passa dal codice dell’applicazione. Secondo BleepingComputer sono colpite anche le configurazioni php-cgi, FrankenPHP e LiteSpeed.
“Ogni versione di PHP rilasciata nell’ultimo decennio è colpita da almeno una di queste vulnerabilità”, scrive Wiz, la società di sicurezza di Google, che ha dimostrato l’attacco su installazioni standard di WordPress, Drupal e Joomla.
Il ruolo dell’AI
Wiz ha costruito la catena di attacco usando, tra gli altri strumenti, il modello Gemini 4 Argon di Google DeepMind. La società di sicurezza Calif ha segnalato il primo bug l’11 agosto lavorando con un assistente basato su un modello linguistico, e la PHP Foundation ringrazia anche il servizio Codex Security di OpenAI. Le fonti non concordano su quale modello abbia trovato cosa, e il contributo dei ricercatori resta difficile da separare da quello delle macchine. La PHP Foundation ha definito il ritardo nella correzione di difetti così vecchi “un fallimento strutturale”.
Cosa fare
Le versioni corrette sono PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. “Non esistono mitigazioni complete, aggiornare è l’unica scelta sicura”, scrivono gli sviluppatori. PHP 8.1 e le versioni precedenti non ricevono più aggiornamenti ufficiali, quindi chi le usa ancora deve passare a una versione supportata.
In Italia l’Agenzia per la cybersicurezza nazionale ha classificato il rischio come critico. Segnala che esistono prove di attacco funzionanti, senza sfruttamento attivo accertato, e consiglia di valutare la messa offline dei sistemi che non si possono aggiornare. Cloudflare invece dice di aver già osservato traffico di attacco contro i propri clienti e ha attivato regole di protezione anche per il piano gratuito.
Per chi ha un sito WordPress aggiornare WordPress o i plugin non basta, perché la falla è nel motore PHP del server. Chi usa un hosting condiviso o gestito deve verificare con il proprio provider che PHP sia stato aggiornato. Alcune distribuzioni Linux applicano le correzioni senza cambiare il numero di versione, quindi conviene chiedere una conferma scritta invece di fidarsi solo del numero mostrato nel pannello di controllo. Chi gestisce un server in proprio deve installare subito la versione corretta e controllare i log alla ricerca di accessi sospetti.
Fonti: PHP, PHP Foundation, GitHub, advisory PHP, Wiz, ACN, BleepingComputer, Cloudflare.
