L’FBI ha esortato le aziende ad aggiornare le proprie installazioni PHP dopo aver scoperto due vulnerabilità critiche nel linguaggio di programmazione ampiamente utilizzato. Le falle potrebbero consentire agli aggressori di eseguire in remoto codice sui server interessati, mettendo a rischio dati e reti critici.
Le vulnerabilità CVE-2026-109618 e CVE-2026-109619 sono note collettivamente come “PHP2Shell”.
PHP ha rilasciato aggiornamenti di sicurezza il 21 ottobre. Nel suo messaggio, l’FBI ha affermato che le vulnerabilità “potrebbero consentire ad autori informatici malintenzionati di eseguire in remoto codice nel core PHP, compromettendo dati e reti sensibili”.
La scoperta ha attirato l’attenzione sul ruolo dell’intelligenza artificiale nella ricerca sulla sicurezza informatica. Wiz Research, parte di una consolidata società di sicurezza cloud e AI, ha affermato che Google Cloud ha utilizzato diversi modelli di intelligenza artificiale per rilevare e correggere le vulnerabilità.
Gemini 4 Argon ha contribuito al rilevamento delle vulnerabilità, allo sviluppo di exploit, al rilevamento degli attacchi e alla verifica delle patch, ha affermato Wiese. Wiz attribuisce il merito alla sua ricerca al proprio sistema Wiz Atlas e al GPT-5.6 Sol di OpenAI. Separatamente, la startup di sicurezza informatica Calif ha utilizzato GPT-5.6 Sol per trovare un difetto, mentre OpenAI ha affermato che Wiz ha trovato e segnalato entrambi in modo indipendente.
“Portare i computer offline fino alla completa mitigazione”
Le aziende dovrebbero aggiornare le installazioni interessate seguendo le indicazioni di PHP.net, ha affermato l’FBI in un post di mercoledì X. Ha inoltre affermato che se un aggiornamento immediato non è possibile, “si consiglia alle organizzazioni di tenere il sistema offline fino alla completa mitigazione”.
L’FBI ha consigliato alle aziende di dare priorità e tenere inventari dei luoghi in cui PHP è in esecuzione, dei sistemi accessibili da Internet e dei prodotti compilati in PHP. Ha inoltre sottolineato il monitoraggio di attività sospette, inclusi processi PHP che avviano inaspettatamente shell di comandi o scaricano file.
Le organizzazioni che rilevano segni di compromissione dovrebbero isolare i sistemi interessati, proteggere i server e i log PHP e segnalare l’incidente a un ufficio sul campo dell’FBI, o IC3, ha affermato l’agenzia.
Newsweek L’FBI, la NSA, la PHP Foundation, OpenAI, California, Wiz e il National Cyber Security Centre del Regno Unito sono stati contattati per un commento.
Cos’è PHP?
PHP è un linguaggio di programmazione open source che funziona su server web. Siti Web e applicazioni lo utilizzano per creare pagine dinamiche, elaborare richieste e interagire con i database. Viene utilizzato nei sistemi di gestione dei contenuti e in altre applicazioni Web, incluso WordPress.
Il suo ampio utilizzo Un difetto in PHP può influenzare molti tipi di servizi online. W3Techs stima che PHP sia utilizzato dal 69,3% dei siti web il cui linguaggio di programmazione lato server è stato identificato al 21 ottobre. Ciò non significa che tutti questi siti siano vulnerabili: l’esposizione dipende dalla versione di PHP e da come è configurato ciascun sistema.
Il National Cyber Security Centre del Regno Unito ha affermato che le vulnerabilità consentirebbero a un utente malintenzionato di eseguire comandi su server Web che eseguono versioni PHP interessate. La sua guida afferma che le organizzazioni dovrebbero identificare i sistemi che eseguono PHP, dare priorità ai sistemi esposti a Internet e monitorarli per attività dannose.
Le falle potrebbero consentire agli aggressori di eseguire codice in remoto sui server/kit interessati
La NSA avverte di un potenziale accesso a file e database
La divisione Cybersecurity della National Security Agency degli Stati Uniti ha dichiarato in un post mercoledì X: “Si consiglia immediatamente a tutte le organizzazioni che utilizzano PHP sui propri sistemi di prepararsi per un aggiornamento che risolva due vulnerabilità critiche”.
“PHP è ampiamente utilizzato per le applicazioni web”, ha affermato la NSA. “Queste vulnerabilità spesso forniscono un percorso diretto al file system o al database del server. Se un aggiornamento immediato non è possibile, si consiglia di portare il sistema offline fino a quando i sistemi non saranno completamente mitigati.”
La NSA ha affermato che PHP ha rilasciato le sue patch software il 21 ottobre e ha consigliato alle aziende di monitorare gli aggiornamenti dei fornitori e valutare i sistemi che si basano su versioni PHP vulnerabili.
Gli aggiornamenti PHP risolvono le vulnerabilità
L’avviso di sicurezza di PHP elenca gli aggiornamenti per le versioni 8.2, 8.3, 8.4 e 8.5. Il team di sviluppo PHP ha notato che le falle potrebbero consentire l’esecuzione di codice remoto non autorizzato, il che significa che un utente malintenzionato non dovrebbe prima accedere in determinate condizioni.
L’avviso afferma che le vulnerabilità colpiscono le installazioni PHP che servono richieste web, compresi i sistemi che utilizzano PHP-FPM, mod_php, php-cgi, FrankenPHP e LiteSpeed con Apache. Ha identificato mod_php come una configurazione ad alto rischio perché una richiesta non autorizzata potrebbe innescare un attacco prima dell’esecuzione del codice dell’applicazione.
Le versioni PHP 8.1 e precedenti non ricevono più aggiornamenti dal progetto PHP, sebbene alcune distribuzioni Linux e fornitori di supporto a lungo termine forniscano correzioni backport. L’avviso sulla sicurezza PHP elenca le versioni collegate e spiega come gli utenti dei rami più vecchi possono verificare la presenza di aggiornamenti del fornitore.
Il messaggio dell’FBI ha indirizzato le aziende all’annuncio di PHP, al CERT-EU Security Advisory 2026-018 e all’elenco CISA delle vulnerabilità note sfruttate per ulteriori informazioni. L’FBI ha inoltre affermato che i rapporti compromessi potrebbero aiutare gli investigatori a identificare gli attori informatici e allertare altre agenzie.
Redattore corrispondente di Newsweek su questa storia: Edward Pearcy.