Amazon Threat Intelligence ha riferito che la telemetria dell’honeypot MadPot ha registrato un tentativo di sfruttamento di PHP2Shell il 17 ottobre 2026, quattro giorni prima della divulgazione pubblica delle vulnerabilità. L’indirizzo IP d’origine era associato a una rete commerciale di anonimizzazione. L’attività ha preso di mira un honeypot; AWS non ha riferito compromissioni di server di produzione e ha detto che l’esito su sistemi reali non era chiaro.
Che cosa ha rilevato AWS prima della divulgazione
MadPot è la rete di honeypot di AWS, cioè sistemi esca usati per osservare attività sospette. AWS ha riferito che il tentativo del 17 ottobre precedeva la divulgazione pubblica del 21 ottobre. Ha inoltre individuato altri tentativi contro i propri sensori il 21 ottobre, con i primi exploit proof of concept osservati intorno alle 02:00 UTC, prima della diffusione pubblica delle vulnerabilità.
AWS ha descritto l’indirizzo del 17 ottobre come associato a infrastrutture di anonimizzazione commerciale. Il rapporto non identifica chi fosse dietro l’attività né spiega come abbia ottenuto informazioni sulle vulnerabilità durante il periodo di embargo.
I due difetti e le versioni corrette di PHP
PHP2Shell è il nome collettivo di due vulnerabilità del nucleo di PHP, entrambe capaci di consentire l’esecuzione di codice da remoto senza autenticazione. CVE-2026-109618 riguarda un errore nella gestione dell’esaurimento della memoria; CVE-2026-109619 riguarda invece uno stato interno obsoleto dopo che la memoria associata è stata liberata.
Per il primo difetto, una condizione di memoria insufficiente può lasciare dati della richiesta inizializzati solo in parte, che PHP può poi gestire in modo errato durante la pulizia. Nel secondo caso, una richiesta successiva gestita dallo stesso processo può usare uno stato rimasto in memoria dopo la sua liberazione.
PHP indica come interessate le installazioni che servono richieste web, comprese PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed. L’avviso considera mod_php la configurazione a rischio più elevato: una richiesta non autenticata può attivare il problema prima che venga eseguito il codice dell’applicazione.
Le versioni corrette indicate da PHP sono 8.5.12, 8.4.27, 8.3.36 e 8.2.35. L’avviso ufficiale elenca le versioni e i dettagli tecnici. Per chi usa pacchetti di una distribuzione Linux o di un fornitore con supporto a lungo termine, le correzioni possono arrivare tramite backport e avere numeri di versione diversi. PHP ha inoltre indicato che la serie 8.1 e quelle precedenti non ricevono più aggiornamenti dal progetto; alcuni fornitori possono distribuire correzioni proprie.
Che cosa hanno osservato gli altri sensori
Telekom Security ha riferito che i suoi honeypot non hanno registrato payload simili a un exploit prima della comparsa degli avvisi nella propria cronologia. I primi payload serializzati di questo tipo sono arrivati ai suoi sensori alle 14:18 UTC del 21 ottobre. Sono osservazioni provenienti da una rete distinta da MadPot e riferite a date diverse.
Aggiornamento e controlli utili
PHP indica l’aggiornamento del runtime a una versione corretta come soluzione completa; le modifiche di configurazione riducono l’esposizione a specifici percorsi, ma non sostituiscono l’aggiornamento. Un aggiornamento di un’applicazione o di un CMS, da solo, non equivale a correggere il runtime PHP che serve le richieste.
AWS raccomanda di controllare i log del server web, le richieste POST che contengono PHP_SESSION_UPLOAD_PROGRESS e l’eventuale esecuzione inattesa di processi o modifica di file. Se un sistema non può essere aggiornato subito, suggerisce di valutare restrizioni temporanee sui caricamenti multipart dopo averne considerato l’impatto sull’applicazione.
Gli indirizzi IP elencati da AWS sono 103.216.220.92, osservato il 17 ottobre, e 31.223.184.166, 37.19.200.5, 134.209.159.64, 103.114.163.188 e 95.217.98.37, osservati il 21 ottobre. AWS avverte che gli indirizzi includono infrastrutture di anonimizzazione condivise e non sono esclusivi di questa attività: raccomanda di indagare sulle corrispondenze, anziché bloccarli automaticamente.
