Il 26 ottobre 2026 CISA ha inserito CVE-2026-109618 e CVE-2026-109619 nel catalogo delle vulnerabilità note come sfruttate (Known Exploited Vulnerabilities, KEV). La sua allerta raccomanda agli operatori di censire PHP in tutta l’organizzazione, dare priorità ai sistemi esposti a Internet e monitorare i processi PHP che avviano shell o scaricano strumenti. CISA
Il progetto PHP aveva pubblicato le versioni correttive il 21 ottobre: PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. L’avviso del progetto PHP descrive le vulnerabilità e i limiti delle misure temporanee; NeoTeo ha già riepilogato le versioni PHP che correggono i due problemi.
Quali installazioni PHP vanno individuate
PHP2Shell è il nome collettivo di due vulnerabilità del runtime PHP che, secondo il progetto, possono consentire l’esecuzione di codice da remoto senza autenticazione. CVE-2026-109618 riguarda la gestione di un esaurimento della memoria: la richiesta può interrompersi mentre alcuni dati interni sono inizializzati solo in parte, e la procedura di pulizia può trattare come validi dati non validi. CVE-2026-109619 riguarda invece uno stato globale che può restare dopo la liberazione della memoria; una richiesta successiva gestita dallo stesso processo worker, cioè un processo che serve richieste web, può usare quello stato obsoleto.
Il progetto PHP include tra le configurazioni che servono richieste web PHP-FPM, Apache mod_php, php-cgi, FrankenPHP e LiteSpeed. Considera mod_php la configurazione a rischio più elevato. CISA raccomanda di cercare PHP in tutta l’organizzazione, anche quando è integrato in altri prodotti, e di dare precedenza ai sistemi raggiungibili da Internet.
Come contenere il rischio e controllare i sistemi
CISA raccomanda di mettere offline i sistemi interessati quando non è possibile aggiornarli subito o quando usano PHP 8.1 o una versione precedente non supportata. Per individuare attività sospette, indica di monitorare i processi PHP che avviano shell o scaricano strumenti.
PHP 8.1 e i rami precedenti non ricevono aggiornamenti dal progetto PHP. Il progetto ha pubblicato backport minimi del codice sorgente per PHP 7.4, 8.0 e 8.1; distributori e fornitori con supporto a lungo termine possono offrire propri pacchetti corretti. Per sapere quale correzione applicare, gli operatori devono quindi considerare anche il fornitore e il pacchetto effettivamente usato.
Un firewall per applicazioni web (WAF) può offrire una protezione parziale mentre si prepara l’aggiornamento. Il progetto PHP precisa che le misure temporanee riducono l’esposizione ad alcuni percorsi, ma non rendono sicura un’installazione vulnerabile: l’aggiornamento resta la correzione completa. Applicare la patch, inoltre, non permette da solo di stabilire se un sistema sia stato compromesso in precedenza; CISA raccomanda anche il monitoraggio delle attività sospette.
L’inclusione in KEV segnala che CISA classifica entrambe le vulnerabilità come sfruttate. Nel suo rapporto, Wiz riferisce di non aver osservato una catena di exploit completa nei tentativi catturati e cita separatamente evidenze pubbliche di esecuzione su un honeypot con Apache mod_php configurato con un solo worker. Quel risultato riguarda quella configurazione specifica. Il rapporto di Wiz distingue le due osservazioni.
Che cosa misurano le percentuali di Wiz
Le cifre pubblicate da Wiz descrivono gruppi diversi: macchine esposte, organizzazioni e la quota di macchine vulnerabili con versioni PHP più vecchie.
| Indicatore | Variazione riportata | Gruppo e periodo |
| Macchine distinte, vulnerabili ed esposte a Internet | Circa il 67% in meno | Conteggio giornaliero dopo la divulgazione pubblica |
| Organizzazioni con almeno un’istanza esposta e vulnerabile | Circa il 47,9% in meno | Organizzazioni osservate da Wiz |
| Quota di macchine esposte e vulnerabili con PHP 7.3 o precedente | Dall’8,3% al 5,7% | Quota osservata nell’arco di cinque giorni |
Le prime due variazioni non condividono lo stesso denominatore: una riguarda il numero di macchine, l’altra le organizzazioni. La terza è una quota della popolazione osservata, non un conteggio di macchine corrette. Wiz avverte che la copertura delle scansioni e i cambiamenti nella popolazione osservata possono influenzare questi andamenti; i dati non isolano il contributo di aggiornamenti, dismissioni o restrizioni dell’accesso a Internet.
