Amazon Threat Intelligence riferisce che il 17 ottobre 2026 i suoi honeypot MadPot hanno registrato un tentativo di sfruttare PHP2Shell, quattro giorni prima della divulgazione pubblica e delle correzioni rilasciate il 21 ottobre. Un honeypot è un sistema-esca progettato per attirare e osservare tentativi di attacco. AWS descrive un’attività diretta a questi sensori e afferma che non è chiaro se i tentativi sarebbero riusciti contro sistemi reali.
Che cosa registrò MadPot il 17 ottobre
L’osservazione riguarda un tentativo di exploit contro i sistemi-esca di Amazon, non una compromissione confermata di un sito di produzione. L’indirizzo IP di origine era associato a una rete commerciale di anonimizzazione. La distinzione conta per chi indaga: la telemetria di un honeypot documenta ciò che ha raggiunto il sensore, non dimostra da sola che un attacco sia riuscito su un server operativo.
Da quando e quali tracce controllare
AWS raccomanda di estendere l’indagine almeno al 17 ottobre, data della prima osservazione MadPot riportata. Tra i segnali da cercare nei registri e nei sistemi indica:
| Indizio | Che cosa controllare |
| Richieste HTTP | Richieste POST contenenti PHP_SESSION_UPLOAD_PROGRESS |
| Server web | Attività sospette del server web |
| Processi | Esecuzioni inattese di processi |
| File | Modifiche inattese ai file |
Gli indirizzi IP citati da AWS comprendono infrastrutture di anonimizzazione condivise e non sono esclusivi di questa attività. AWS consiglia quindi di esaminare le connessioni e il contesto dei singoli eventi, invece di bloccare automaticamente ogni indirizzo elencato.
Le vulnerabilità e le versioni corrette di PHP
PHP2Shell è il nome collettivo di CVE-2026-109618 e CVE-2026-109619. La PHP Foundation descrive la prima come un problema di corruzione della memoria dovuto a esaurimento della memoria; la seconda riguarda uno stato globale non aggiornato e l’uso di memoria già liberata. In determinate condizioni, entrambe potevano consentire l’esecuzione di codice da remoto senza autenticazione.
Il 21 ottobre 2026 il progetto PHP ha pubblicato le correzioni nelle versioni PHP 8.5.12, PHP 8.4.27, PHP 8.3.36 e PHP 8.2.35. Per il quadro delle versioni corrette, puoi consultare anche l’articolo di NeoTeo sulle patch per le due vulnerabilità critiche.
La sequenza pubblica della divulgazione accelerò il 20 ottobre: gli identificativi CVE iniziarono a circolare intorno alle 15:00 UTC; PHP pubblicò un preavviso alle 19:30 UTC e anticipò il rilascio, inizialmente previsto per il 22 ottobre, al 21 ottobre alle 14:00 UTC. Questi passaggi successivi collocano la divulgazione e le patch dopo l’osservazione MadPot del 17 ottobre.
