The Pulse

PHP accelera le correzioni dopo tentativi di sfruttare vulnerabilità individuate con l’aiuto dell’IA

PHP ha pubblicato correzioni per due vulnerabilità critiche dopo che Amazon ha segnalato un tentativo di sfruttarle avvenuto quattro giorni prima della divulgazione pubblica. Le vulnerabilità interessano le installazioni PHP esposte al web

AI.info Team · Scritto con l’IA · verificato · 2026-10-23

Un tentativo è emerso quattro giorni prima della divulgazione

Amazon afferma che la sua rete di honeypot MadPot ha registrato un tentativo di sfruttare PHP2Shell il 17 ottobre, quattro giorni prima che PHP divulgasse pubblicamente le vulnerabilità e pubblicasse le correzioni. L’azienda ha ricondotto il tentativo a un indirizzo IP associato a una rete commerciale di anonimizzazione, ma afferma che non è chiaro come l’autore abbia ottenuto informazioni sulle vulnerabilità mentre erano ancora sotto embargo.

PHP ha pubblicato gli aggiornamenti il 21 ottobre 2026 per due bug che possono consentire l’esecuzione di codice da remoto senza autenticazione. Amazon ha poi rilevato altri tentativi contro i suoi sensori, comprese attività successive alla comparsa di exploit proof-of-concept dopo la pubblicazione delle correzioni. La sua analisi non aveva stabilito se quei tentativi avrebbero funzionato contro sistemi reali.

«Non esistono misure di mitigazione complete: aggiornare è l’unica scelta sicura.»

Due vulnerabilità interessano la gestione delle richieste in PHP

Le vulnerabilità, CVE-2026-109618 e CVE-2026-109619, riguardano la gestione della memoria e degli errori da parte di PHP durante le richieste web. Nel primo caso, una condizione di esaurimento della memoria può lasciare i dati interni della richiesta inizializzati solo in parte; la successiva fase di pulizia potrebbe trattare quei dati non validi come utilizzabili. Nel secondo, uno stato interno può persistere oltre la memoria a cui fa riferimento, consentendo a una richiesta successiva gestita dallo stesso processo worker di usare un riferimento non più valido.

L’avviso di sicurezza di PHP afferma che il rischio riguarda le installazioni esposte al web, tra cui PHP-FPM, mod_php di Apache, php-cgi, FrankenPHP e LiteSpeed. Indica mod_php come la configurazione a rischio più elevato: i ricercatori hanno dimostrato che una richiesta non autenticata potrebbe innescare un attacco prima dell’esecuzione del codice dell’applicazione. Wiz afferma che i suoi ricercatori hanno dimostrato l’esecuzione di codice da remoto su WordPress, Drupal e Joomla, sottolineando però che la vulnerabilità si trova in PHP stesso, non in quelle applicazioni.

L’IA ha aiutato i ricercatori a trasformare vecchi bug in exploit funzionanti

Le vulnerabilità sono state segnalate da diversi ricercatori. La PHP Foundation afferma che Calif ha avviato un’analisi di PHP il 30 luglio e ha segnalato un percorso per l’esecuzione di codice da remoto senza autenticazione l’11 agosto. OpenAI ha segnalato indipendentemente la stessa causa di fondo, poi ha comunicato ulteriori vettori di attacco il 18 settembre; Wiz ha segnalato le proprie scoperte il 24 agosto. Secondo il resoconto di Wiz, i suoi ricercatori hanno usato Wiz Atlas, Gemini 4 Argon e GPT-5.6 Sol nella loro ricerca.

La PHP Foundation afferma che uno sviluppatore del progetto aveva notato segnali del problema di esaurimento della memoria durante il lavoro successivo a un’analisi di sicurezza del 2024, ma all’epoca i ricercatori non disponevano di una via concreta per sfruttarlo. Il team ha faticato a trovare una correzione perché le soluzioni proposte comportavano costi in termini di compatibilità, rischio di interruzione del servizio o manutenzione delle estensioni. La Foundation afferma che le segnalazioni hanno chiarito la piena portata del problema e lo hanno portato in cima alle priorità del suo team di sicurezza.

Wiz afferma che i suoi ricercatori hanno concatenato diverse vulnerabilità della memoria e usato strumenti di IA per adattare e testare l’exploit su diverse configurazioni applicative. L’azienda riferisce di dimostrazioni riuscite su immagini container recenti di WordPress, Drupal e Joomla: è una prova della possibilità di sfruttare le vulnerabilità in quegli ambienti di test, non che ogni sito PHP sia stato compromesso.

Gli aggiornamenti sono disponibili, ma le installazioni meno recenti richiedono attenzione

Le versioni corrette di PHP sono 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Il progetto afferma che le distribuzioni Linux e i fornitori di supporto a lungo termine hanno ricevuto le patch in anticipo: gli amministratori che usano i pacchetti di questi fornitori dovrebbero quindi verificare la disponibilità dei relativi aggiornamenti. PHP non supporta più le versioni 8.1 e precedenti, anche se alcuni fornitori mettono a disposizione correzioni adattate alle versioni precedenti; il progetto ha inoltre pubblicato adattamenti minimi del codice sorgente per PHP 7.4, 8.0 e 8.1.

Modifiche temporanee alla configurazione possono ridurre l’esposizione a specifiche modalità di attacco, ma PHP afferma che non rendono sicura un’installazione. Amazon raccomanda innanzitutto di aggiornare, poi di esaminare i log del server web e verificare l’eventuale esecuzione inattesa di processi o la presenza di modifiche ai file. Poiché il primo tentativo registrato precede la divulgazione, AWS consiglia ai team di sicurezza di esaminare le attività almeno a partire dal 17 ottobre, non soltanto dal giorno in cui sono comparse le patch.