Nel post del 24 ottobre, il team SuperTuxKart ha annunciato che al ritorno del servizio online ogni utente dovrà impostare una nuova password. AWS aveva registrato tentativi di sfruttamento di PHP2Shell il 17 ottobre e tra le 02:00 e le 08:00 UTC del 21 ottobre, ma non ha potuto stabilire se avrebbero avuto successo su sistemi reali.
La cronologia degli avvistamenti AWS
AWS ha datato al 17 ottobre 2026 un tentativo rilevato da MadPot, la sua rete di honeypot, cioè sistemi-esca che registrano attività ostili. L’indirizzo IP coinvolto era associato a una rete commerciale di anonimizzazione.
Il 21 ottobre, prima della fine dell’embargo alle 14:00 UTC, AWS ha rilevato altri tentativi contro MadPot tra le 02:00 e le 08:00 UTC. Secondo AWS, payload diversi e l’uso di infrastrutture di anonimizzazione differenti suggerivano il coinvolgimento di più attori. Dopo la divulgazione pubblica e il rilascio delle correzioni, AWS ha rilevato proof of concept usati contro i propri sensori.
Che cosa indicano i tentativi PHP2Shell
Le osservazioni descritte da AWS riguardano tentativi registrati nei suoi sistemi di monitoraggio. L’azienda non ha potuto stabilire se sarebbero riusciti su sistemi reali.
PHP2Shell comprende due vulnerabilità critiche del runtime PHP, il componente che esegue il codice PHP: CVE-2026-109618, legata alla gestione degli errori di esaurimento della memoria, e CVE-2026-109619, legata a uno stato interno non aggiornato correttamente tra richieste. PHP ha rilasciato le correzioni il 21 ottobre: la versione 8.5.12 per il ramo 8.5, la 8.4.27 per il ramo 8.4, la 8.3.36 per il ramo 8.3 e la 8.2.35 per il ramo 8.2. L’avviso del progetto indicava come interessate le installazioni che servono richieste web, tra cui PHP-FPM, Apache mod_php, php-cgi, FrankenPHP e LiteSpeed, e segnalava il rischio più elevato per mod_php.
Il precedente approfondimento di NeoTeo ricostruisce il ruolo di OpenAI nella ricerca delle falle PHP.
Il ritorno di SuperTuxKart richiederà una nuova password
Il 24 ottobre il team SuperTuxKart ha spiegato che la riscrittura del servizio online in Python era ancora in corso. La migrazione degli account dipende dal completamento della riscrittura e da un audit di sicurezza. Quando il servizio tornerà, il progetto richiederà a tutti gli utenti di impostare una nuova password; il team ha anche dichiarato di non avere indicazioni che il proprio server fosse stato violato.
