PHP2Shell prende il nome da due vulnerabilità nel nucleo di PHP, CVE-2026-109618 e CVE-2026-109619. Secondo il resoconto della PHP Foundation, nel 2024 un manutentore notò i primi indizi della causa legata all’esaurimento della memoria (out of memory, OOM) dietro CVE-2026-109618 mentre lavorava a un rilievo di un audit esterno condotto da Quarkslab. In quel momento non era stato dimostrato un exploit concreto.
Che cosa emerse nel 2024
Il segnale iniziale riguardava una causa radice di una delle due vulnerabilità, non una dimostrazione di attacco funzionante. Il resoconto della PHP Foundation riferisce che il problema fu teorizzato, ma che allora non era stato prodotto un exploit concreto; altri interventi ebbero la precedenza.
Questa distinzione dà la misura di ciò che si sapeva in quella fase: erano emersi indizi su un problema di gestione della memoria, mentre la segnalazione di una vulnerabilità sfruttabile da remoto arrivò nel 2026.
Perché la correzione richiese tempo
Le soluzioni valutate presentavano compromessi tecnici. Alcune potevano compromettere la retrocompatibilità, introdurre rischi di denial of service (DoS) o avere effetti sulle estensioni di terze parti. La PHP Foundation ha inoltre ricondotto i mesi di ritardo alle difficoltà del processo decisionale e alle risorse limitate.
Il problema non era quindi soltanto individuare una modifica al codice: occorreva valutare i suoi effetti su installazioni e componenti diversi. La Foundation ha descritto una sequenza di lavoro rallentata da queste alternative e dalle decisioni necessarie per scegliere una correzione.
Le segnalazioni successive
La cronologia del 2026 coinvolse più soggetti: Ryan Austin, ricercatore di Calif, OpenAI e Wiz Research. Le loro segnalazioni riguardarono una vulnerabilità di esecuzione di codice da remoto (RCE), la stessa causa radice e successivi vettori d’attacco.
| Data | Evento |
| 2024 | Un manutentore PHP notò i primi indizi del problema OOM mentre affrontava un rilievo di un audit esterno di Quarkslab. |
| 11 agosto 2026 | Ryan Austin, ricercatore di Calif, segnalò una vulnerabilità RCE. OpenAI segnalò indipendentemente la stessa causa radice quel giorno. |
| 24 agosto 2026 | Wiz Research riferì la propria ricerca al team di sicurezza PHP. |
| 18 settembre 2026 | La PHP Foundation collocò in questa data l’invio da parte di OpenAI di ulteriori vettori d’attacco. |
Il 21 ottobre 2026 PHP pubblicò le versioni correttive; il 26 ottobre CISA inserì entrambe le CVE nel catalogo Known Exploited Vulnerabilities. NeoTeo ha ricostruito quel passaggio nel resoconto sull’inserimento di PHP2Shell nel catalogo KEV.
