Scoperte due falle che mettono a rischio quasi tutti i siti web del mondo

Il 21 ottobre 2026 gli sviluppatori di PHP hanno pubblicato aggiornamenti urgenti per correggere due vulnerabilità critiche che, in determinate condizioni, consentono a un aggressore di eseguire comandi su un server attraverso richieste inviate via internet.

Entrambe raggiungono 9,2 su 10 nella scala CVSS, che misura la gravità delle vulnerabilità informatiche. Le falle sono identificate come CVE-2026-109618 e CVE-2026-109619 e sono conosciute insieme con il nome PHP2Shell.

PHP è il linguaggio di programmazione che molti siti usano sui server per generare le pagine, gestire gli accessi e scambiare informazioni con i database. È alla base di piattaforme come WordPress, Drupal e Joomla, utilizzate per pubblicare siti, media online e negozi digitali. Le due falle riguardano il funzionamento interno di PHP e possono quindi coinvolgere applicazioni differenti, anche quando il codice del singolo sito è stato scritto correttamente. Alcuni siti governativi e servizi pubblici europei sono stati temporaneamente disattivati a titolo precauzionale.

La diffusione del PHP spiega l’urgenza

W3Techs, società che rileva le tecnologie impiegate nei siti Internet, misura l’uso di PHP nel 69,3% dei siti dei quali riesce a identificare il linguaggio. Tuttavia, l’esposizione effettiva alle vulnerabilità dipende dalla versione installata, dalla configurazione e dagli aggiornamenti già applicati.

Il primo difetto riguarda la gestione della memoria del computer. Quando PHP esaurisce la quantità di memoria assegnata durante una richiesta, può interrompere un’operazione lasciando dati interni preparati soltanto in parte, trattandoli però come corretti e quindi validi.

Nel secondo caso, un errore grave può lasciare riferimenti a una porzione di memoria già liberata e una richiesta successiva può utilizzare informazioni residue e provocare corruzione della memoria. I ricercatori hanno dimostrato che questi comportamenti possono aprire la strada all’esecuzione di codice e, in alcuni scenari, alla lettura di dati sensibili.

Una delle scoperte è stata effettuata da Calif, società specializzata nella ricerca di vulnerabilità informatiche. Il ricercatore Ryan A. ha esaminato PHP con il supporto di Gpt-5.6 Sol, modello IA sviluppato da OpenAI per affrontare anche problemi complessi di programmazione e sicurezza.

La ricerca è iniziata il 30 luglio e ha portato, l’11 agosto, alla segnalazione di un metodo concreto per eseguire codice a distanza. Il lavoro ha combinato analisi umana, conoscenze pregresse sul software e verifiche assistite dal modello.

L’indagine rientra in Patch the Planet, iniziativa promossa da OpenAI, l’azienda che sviluppa ChatGpt, per sostenere controlli di sicurezza su programmi largamente utilizzati e coordinare la correzione delle vulnerabilità. Anche i ricercatori della stessa OpenAI hanno segnalato l’11 agosto un problema con la medesima origine tecnica. La collaborazione ha coinvolto chi sviluppa PHP, esperti di sicurezza e fornitori di servizi Internet.

In parallelo Wiz, azienda che verifica la sicurezza dei sistemi informatici nel cloud, ha individuato le vulnerabilità per conto proprio e le ha comunicate ai manutentori il 24 agosto.

Il gruppo di ricerca ha impiegato Wiz Atlas, uno strumento aziendale di analisi, insieme ai modelli Gpt-5.6 Sol e Gemini 4 Argon di Google. Secondo la ricostruzione tecnica di Wiz, Gemini ha contribuito in modo rilevante a individuare i difetti, costruire gli attacchi di prova e verificare le correzioni. I ricercatori hanno riprodotto l’esecuzione di codice su installazioni di WordPress e Drupal, sistemi Open source per creare e gestire siti web.

Il precedente

La PHP Foundation, organizzazione che finanzia e sostiene lo sviluppo del linguaggio PHP, ha spiegato che i primi segnali del problema legato all’esaurimento della memoria erano già emersi nel 2024, durante attività seguite a una verifica esterna di sicurezza.

Gli sviluppatori avevano studiato diverse soluzioni, con rischi per la compatibilità dei programmi, le prestazioni e il funzionamento delle estensioni e, nonostante ciò, le difficoltà decisionali e il numero ridotto di specialisti avevano rallentato la correzione, accumulando così un ritardo che la PHP Foundation stessa ha definito un fallimento strutturale.

Le dimostrazioni prodotte nell’agosto 2026 hanno chiarito la portata della debolezza. Una vulnerabilità che richiedeva una sequenza di operazioni particolarmente complessa è diventata sfruttabile attraverso procedure concrete. Le IA hanno aiutato gli specialisti a esaminare il codice, provare ipotesi e adattare le verifiche a installazioni differenti.

Da qui, le decisioni sulle correzioni e sulla loro pubblicazione sono rimaste nelle mani degli sviluppatori di PHP.

Il calendario delle patch è cambiato alla vigilia della pubblicazione

Il 20 ottobre 2026 gli identificativi delle due vulnerabilità hanno iniziato a circolare online. In seguito, è apparso anche un video dimostrativo diffuso per errore da Calif. Gli sviluppatori hanno anticipato dal 22 al 21 ottobre la distribuzione delle correzioni, concedendo ai fornitori il tempo necessario per preparare i pacchetti aggiornati. Nel frattempo, Cloudflare, società che protegge e distribuisce il traffico dei siti internet, ha attivato filtri contro gli attacchi e ha segnalato tentativi di sfruttamento diretti verso i propri clienti.

Anche il Centro olandese per la cybersicurezza, organismo pubblico che diffonde indicazioni operative sulle minacce informatiche, ha pubblicato informazioni per individuare i sistemi esposti e gestire gli aggiornamenti. Le osservazioni sul traffico sospetto descrivono tentativi di attacco. La verifica di una compromissione effettiva richiede invece analisi specifiche dei server interessati.

Cosa dovrebbero fare gli amministratori

Le versioni corrette diffuse dal progetto sono PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12. Gli amministratori dei siti devono aggiornare il motore PHP presente sui server e controllare gli eventuali pacchetti distribuiti dal proprio fornitore. Per le versioni più vecchie possono essere disponibili correzioni dedicate o percorsi di migrazione. Anche Ubuntu, sistema operativo Linux diffuso sui server, ha annunciato aggiornamenti per le proprie versioni supportate.

Il ruolo ambivalente dei modelli IA

Il caso si inserisce in un confronto più ampio sulla disponibilità dei modelli avanzati. Lo scorso mese di luglio la Casa Bianca ha dato l’ok alla diffusione della famiglia Gpt-5.6 dopo una fase di restrizioni legate alla sicurezza.

Ora PHP2Shell offre un esempio concreto del cambiamento in corso. Gli stessi sistemi capaci di aiutare a trovare falle complesse possono accelerare anche la preparazione degli attacchi. Per chi gestisce software utilizzato da milioni di persone, la rapidità delle verifiche deve procedere insieme alla capacità di correggere e distribuire gli aggiornamenti.