Che cos’è PHP2Shell?
PHP2Shell riunisce CVE-2026-109618 e CVE-2026-109619, difetti di memoria in PHP con CVSS v4.0 9,2. Sono state dimostrate esecuzione di codice senza autenticazione e divulgazione della memoria. Le correzioni risalgono al 21 ottobre 2026. È coinvolto l’interprete, non solo un CMS.
Quali installazioni controllare?
Aggiornare tutte le installazioni Web: FPM, mod_php, php-cgi, FrankenPHP e LiteSpeed. WordPress, Drupal, Joomla, MediaWiki, Laravel e applicazioni proprie condividono il rischio. Includere pannelli, dispositivi, ambienti di prova e container. Aggiornare l’app non sostituisce PHP.
FPM è esente?
No. FPM termina il figlio se l’avvio della richiesta fallisce, bloccando alcune sequenze iniziali. Restano percorsi applicativi e tra richieste. La dimostrazione mod_php non implica sfruttabilità identica ovunque, ma FPM non esonera dalla patch.
Backport delle distribuzioni
Ubuntu, Debian e Linux aziendale possono mantenere numeri originali vecchi con revisione corretta. Un banner 8.3.6 non prova nulla da solo. Confrontare sistema, repository, architettura e revisione con ENTRAMBE le CVE. Non inventiamo soglie di pacchetti.
PHP 8.1 e precedenti
Nessun rilascio ordinario PHP. Backport minimi dei sorgenti per 7.4, 8.0 e 8.1 sono eccezionali: compilazione e verifica spettano all’operatore. OS o LTS possono mantenere pacchetti. Ricerca da 5.4 con condizioni diverse. Migrare e verificare le soluzioni provvisorie.
Misure temporanee incomplete
Solo la patch completa affronta le varianti. Configurazioni possono incidere su upload, prestazioni e disponibilità. Applicare prima del parsing amministrativamente e riavviare tutti i worker. Leggere entrambi gli avvisi. CDN e WAF non provano la correzione.
La patch non esclude un’intrusione
Il confronto non rileva sfruttamenti passati. Conservare log e immagini, indagare crash, file, processi e connessioni. Assenza di errori non significa sicurezza. Se si sospetta compromissione, isolare e ruotare segreti da un ambiente affidabile dopo il contenimento.
Metodo di valutazione
Il confronto manuale usa versioni stabili complete dei quattro rami pubblicati. I pacchetti vendor richiedono evidenze per entrambi i CVE; le build sconosciute restano tali. Il controllo pubblico raccoglie versioni e indizi, non prove di sfruttamento. Header nascosti, CDN o una replica aggiornata non provano la sicurezza di tutti i runtime. Le date indicano revisioni editoriali.
Uno scanner gratuito dimostra l’intrusione?
Non definitivamente. Header e pattern forniscono indizi senza runtime completo, storia assente o fughe in memoria. Censisci, conserva e correla. Con account, processi o divulgazioni inspiegati, isola e coinvolgi hosting o team incidenti.
Tentativo o intrusione riuscita? →