Siti messi offline per impedire accessi abusivi, aggiornamenti urgenti e un problema che riguarda anche chi usa WordPress. Due vulnerabilità critiche in PHP, il software che fa funzionare una larga parte del web, hanno spinto diversi gestori a sospendere temporaneamente i servizi. È successo anche in Italia: il 21 ottobre GARR ha annunciato di aver isolato alcune delle proprie piattaforme per applicare le correzioni. Le falle, conosciute insieme come PHP2Shell, possono consentire a un aggressore di eseguire codice sui server vulnerabili senza autenticarsi.
Gli aggiornamenti sono disponibili dal 21 ottobre. Per chi gestisce un sito, il passaggio decisivo è verificare con il proprio hosting che sia stato corretto PHP sul server: aggiornare soltanto WordPress, il tema o i plugin non elimina queste vulnerabilità.
Perché alcuni siti sono stati messi offline
La sospensione serve a ridurre l’esposizione durante gli interventi. Nel suo avviso del 21 ottobre, GARR spiega di aver agito in via precauzionale per evitare accessi malevoli da remoto, avviando l’applicazione delle patch e il ripristino graduale dei servizi. La comunicazione riguarda quindi una misura di protezione e non annuncia un’avvenuta violazione.
Anche la National Security Agency statunitense raccomanda di mettere offline i sistemi quando non sia possibile aggiornarli immediatamente, fino alla mitigazione del rischio. L’urgenza deriva dalla possibilità di attaccare servizi accessibili da Internet senza disporre in precedenza di un account.
Che cos’è PHP e quanto è diffuso
PHP è un linguaggio di programmazione eseguito sui server: permette di generare pagine, elaborare richieste e far funzionare applicazioni web. È alla base di piattaforme come WordPress. Quando apriamo un sito, parte del lavoro può essere svolta da PHP sul server che lo ospita.
Secondo W3Techs, al 22 ottobre PHP è utilizzato dal 69,3% dei siti dei quali è noto il linguaggio lato server. La percentuale spiega la portata dell’allerta, ma non misura quanti siti siano stati attaccati o risultino concretamente sfruttabili.
Le due falle, spiegate
Le vulnerabilità sono identificate dai codici CVE-2026-109618 e CVE-2026-109619. Entrambe hanno una gravità di 9,2 su 10 nella scala CVSS 4.0 e riguardano la gestione della memoria da parte dell’interprete PHP.
La prima può emergere quando PHP esaurisce la memoria disponibile: l’interruzione lascia alcuni dati interni incompleti, che nelle operazioni successive possono essere trattati come validi. La seconda riguarda riferimenti a memoria già liberata, che possono sopravvivere alla richiesta originaria ed essere riutilizzati durante una richiesta successiva. In entrambi i casi, il problema può andare oltre un arresto del servizio e permettere l’esecuzione di codice dell’aggressore.
Il bollettino ufficiale PHP considera a rischio tutte le installazioni che gestiscono richieste web, comprese PHP-FPM e Apache con mod_php. Per quest’ultimo indica il rischio più elevato: è stato dimostrato un attacco che può partire prima dell’esecuzione del codice dell’applicazione.
Il controllo ottenibile dipende anche dai permessi del processo coinvolto. L’impatto confermato è l’esecuzione di codice con i privilegi del processo web: può mettere in pericolo dati e servizi accessibili a quell’account, senza equivalere automaticamente al controllo amministrativo dell’intero server.
Il ruolo dell’intelligenza artificiale
La PHP Foundation ricostruisce una vicenda iniziata prima dell’allerta pubblica. I primi segnali del problema di esaurimento della memoria risalgono al 2024: era stato ipotizzato uno sfruttamento, senza individuare un percorso concreto per eseguire codice da remoto.
Le successive ricerche di Calif, OpenAI e Wiz, con il contributo di strumenti di intelligenza artificiale, hanno chiarito la portata del rischio. Il team PHP ha sviluppato le correzioni. La Foundation riconosce che difficoltà tecniche, risorse limitate e problemi decisionali avevano rallentato gli interventi sul difetto originario.
Cosa deve fare chi gestisce un sito WordPress
Le versioni correttive sono PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12. Alcuni distributori possono fornire pacchetti con le correzioni applicate a versioni precedenti: in questi casi occorre verificare il bollettino del fornitore, oltre al numero di versione visualizzato.
Il CERT-AGID ricorda che aggiornare il CMS e i plugin non corregge l’interprete. Chi usa un hosting gestito deve chiedere conferma dell’applicazione delle patch per entrambe le CVE; chi amministra direttamente il server deve aggiornare i pacchetti e assicurarsi che i processi web siano stati riavviati con la versione corretta.
Le mitigazioni temporanee riducono soltanto alcune possibilità di attacco. L’installazione delle correzioni rimane l’intervento necessario per risolvere le due vulnerabilità.
