Gli esperti del CERT-AgID (Computer Emergency Response Team dell’Agenzia per l’Italia Digitale) hanno effettuato una verifica preliminare degli indirizzi delle Pubbliche Amministrazioni censiti nell’IPA, individuando almeno 650 URL potenzialmente a rischio. In pratica non sono state ancora installate le versioni recenti di PHP che correggono le vulnerabilità PHP2Shell. Come previsto è già arrivato il primo exploit funzionante.
Le PA devono installare subito le patch
Le due vulnerabilità (CVE-2026-109618 e CVE-2026-109619), scoperte dai ricercatori di Calif con l’aiuto di GPT-5.6 Sol, permettono di eseguire codice remoto sui server senza autenticazione. Dal 21 ottobre sono disponibili le versioni aggiornate di PHP che correggono le vulnerabilità, ma la loro installazione richiede diversi giorni. Ciò lascia aperta la “porta” ad eventuali attacchi informatici, a meno che non venga messo offline il servizio o sito web. Secondo Check Point Software, in Italia sono a rischio il 10% delle organizzazioni.
Il CERT-AgID aveva suggerito di usare il tool PHP2Shell Checker di OpenAI per verificare la versione di PHP installata. Il controllo remoto si basa sull’analisi degli header HTTP e non esegue tentativi di sfruttamento delle vulnerabilità.
Questo è probabilmente il tool usato per esaminare gli indirizzi web censiti nell’Indice delle Pubbliche Amministrazioni (IPA). Essendo un controllo HTTP passivo non è possibile avere la certezza della versione di PHP tramite header HTTP, quindi è stato usato il termine “potenzialmente vulnerabile“.
In base alla scansione effettuata il 22 ottobre risultano potenzialmente vulnerabili almeno 650 URL, ovvero circa il 3,2% degli indirizzi raggiungibili. Il 7% dei siti dichiara invece una versione aggiornata di PHP. Il CERT-AgID ha avvisato le amministrazioni associate agli indirizzi potenzialmente vulnerabili, invitandole a verificare la versione di PHP in esecuzione e all’applicazione delle patch di sicurezza.
Primo exploit funzionante
I dettagli sulle vulnerabilità PHP2Shell sono stati divulgati prima del rilascio delle patch, ma gli exploit non erano funzionanti. Diverse aziende hanno segnalato tentativi di sfruttare le vulnerabilità, ma nessuno ha avuto successo.
Due ricercatori di sicurezza hanno confermato che circola il primo exploit funzionante, ovvero l’esecuzione di codice remoto su un server con PHP 8.4.26 (la versione aggiornata è PHP 8.4.27). È quindi fortemente consigliata l’installazione delle patch per evitare gravi conseguenze.
Ti potrebbe interessare
26 ott 2026