La divulgazione di due vulnerabilità critiche del PHP ha fatto notizia in tutto il mondo e ha spinto molte organizzazioni a porsi una domanda fondamentale: in quanto tempo siamo in grado di individuare la nostra esposizione al rischio e reagire?
Sebbene l’attenzione si sia concentrata immediatamente sulle misure correttive, la vicenda alla base di PHP2Shell evidenzia un cambiamento più ampio. La ricerca sulla sicurezza assistita dall’intelligenza artificiale sta accelerando la scoperta di vulnerabilità, comprese quelle rimaste nascoste per anni in software di largo uso.
In questo articolo, Richard Ford, CTO di Integrity360, analizza cosa comporti PHP2Shell per i responsabili della sicurezza e come le organizzazioni possano prepararsi a un futuro in cui l’individuazione delle vulnerabilità guidata dall’intelligenza artificiale aumenti sia il volume che il ritmo delle minacce appena rese note.
Identificate con i codici CVE-2026-109618 e CVE-2026-109619, queste vulnerabilità possono consentire l’esecuzione remota di codice su un’ampia gamma di versioni di PHP, rendendo urgente per le organizzazioni valutare la propria esposizione e reagire rapidamente.
L’avviso sulle minacce di Integrity360 ha individuato rischi di esecuzione di codice remoto che interessano un’ampia gamma di implementazioni PHP e ha evidenziato il rischio elevato rappresentato dalle applicazioni esposte a Internet. L’avviso ha inoltre identificato mod_php come il componente che presenta il rischio più elevato, con un exploit dimostrato reso disponibile quasi immediatamente, in grado di essere attivato da una richiesta non autenticata prima dell’esecuzione del codice dell’applicazione.
Piattaforme ampiamente utilizzate come WordPress, Joomla e Magento potrebbero essere interessate qualora siano in uso versioni vulnerabili di PHP. Poiché, secondo quanto riferito, sono disponibili exploit proof-of-concept, le organizzazioni dovrebbero dare priorità alle attività di valutazione, applicazione delle patch e correzione per ridurre il rischio di compromissione.
PHP2Shell è significativo non solo per la gravità delle vulnerabilità coinvolte, ma anche per il modo in cui sono state scoperte.
Per decenni, le organizzazioni si sono affidate a una combinazione di ricerca sulla sicurezza, test, revisioni del codice e programmi di bug bounty per identificare i punti deboli nel software. PHP2Shell dimostra come l’analisi assistita dall’intelligenza artificiale stia cambiando questo processo, aiutando i ricercatori a scoprire vulnerabilità rimaste nascoste per anni in software ampiamente utilizzati.
Come spiega Richard Ford, CTO di Integrity360:
«Uno dei bug alla base del problema risalirebbe al 2004 e fa seguito a bug relativi alla sicurezza della memoria che erano stati segnalati ma non risolti. Ciò è in parte dovuto al fatto che creare un exploit non era fattibile e, di fatto, uno sviluppatore principale di PHP aveva scoperto l’errore di memoria insufficiente legato a una delle vulnerabilità già nel 2024. Sebbene non fosse considerato umanamente possibile sfruttarlo, l’analisi assistita dall’intelligenza artificiale, operante a una velocità ben superiore alle capacità umane, è riuscita a colmare il divario e a individuare la catena perfetta di azioni per renderlo realtà. Ciò dimostra come le nuove tecnologie possano portare alla luce punti deboli rimasti nascosti per decenni e scoprire percorsi complessi per sfruttarli.”
Questo rende PHP2Shell molto più di una semplice storia di patch. Mette in luce un cambiamento fondamentale nella scoperta delle vulnerabilità. Poiché l’IA consente ai ricercatori di analizzare enormi quantità di codice in modo più rapido ed efficace, le organizzazioni dovrebbero aspettarsi che vengano scoperte altre vulnerabilità di lunga data, spesso senza preavviso.
Per chi si occupa di sicurezza, ciò rappresenta una nuova sfida. La scoperta di vulnerabilità precedentemente sconosciute può causare un’improvvisa ondata di attività di correzione, poiché i team di sicurezza si affrettano a identificare i sistemi colpiti, valutare il rischio e distribuire le correzioni prima che gli autori delle minacce possano sfruttarle. Allo stesso tempo, i fornitori di software devono affrontare una pressione crescente per comprendere i difetti appena scoperti e sviluppare rapidamente patch efficaci.
Il risultato è una corsa sempre più serrata tra individuazione e sfruttamento. Le organizzazioni dotate di una solida visibilità sulle risorse, di una gestione delle vulnerabilità e di capacità di risposta agli incidenti saranno in una posizione di gran lunga migliore per reagire quando emergerà la prossima vulnerabilità critica.
PHP2Shell ci ricorda che le vulnerabilità più pericolose non sono sempre quelle più recenti. A volte sono rimaste nascoste in bella vista per anni, in attesa che una nuova generazione di tecnologie svelasse i segreti per sfruttarle.
Se non hanno già provveduto, le organizzazioni devono identificare rapidamente tutte le installazioni PHP interessate, dando priorità ai sistemi esposti a Internet e applicando con urgenza gli aggiornamenti di sicurezza pertinenti. Devono inoltre verificare se eventuali sistemi vulnerabili siano già stati compromessi.
Le patch sono disponibili e dovrebbero essere installate al più presto, ma le organizzazioni che tardano a farlo dovrebbero prendere in considerazione la possibilità di mettere temporaneamente fuori servizio le applicazioni esposte a Internet fino a quando non sarà possibile implementare la patch.
Richard consiglia alle organizzazioni interessate di effettuare valutazioni di compromissione per individuare indicatori di sfruttamento, quali l’attivazione inattesa di una shell e richieste web in uscita.
Il primo passo è la visibilità. Le organizzazioni devono capire dove viene eseguito PHP nel proprio ambiente, in particolare sui sistemi esposti a Internet, e se è integrato in applicazioni, piattaforme o servizi di terze parti.
A seguito della divulgazione di PHP2Shell, una delle sfide più comuni per i team di sicurezza è stata quella di stabilire rapidamente il proprio livello di esposizione. Prima che le organizzazioni possano valutare il rischio o stabilire le priorità di rimedio, devono avere un quadro chiaro della propria superficie di attacco e delle tecnologie che la supportano.
Ciò significa rispondere a una serie di domande fondamentali:
Le domande sollevate dai clienti di Integrity360 a seguito della divulgazione riflettevano queste stesse preoccupazioni. Le organizzazioni volevano capire se PHP fosse presente all’interno dei servizi gestiti, quali versioni fossero state implementate, se fossero state completate valutazioni relative alle vulnerabilità appena divulgate, quali misure di mitigazione fossero disponibili e se fossero stati identificati segni di compromissione.
In definitiva, una gestione efficace delle vulnerabilità inizia con la consapevolezza di ciò che si possiede. Le organizzazioni meglio posizionate per rispondere a minacce come PHP2Shell sono quelle che dispongono di una forte visibilità delle risorse, di un monitoraggio continuo della superficie di attacco e della capacità di identificare rapidamente dove si trovano le tecnologie vulnerabili all’interno del proprio ambiente.
Una delle lezioni più importanti tratte dal caso PHP2Shell è che l’esposizione di un’organizzazione non si limita necessariamente all’infrastruttura che gestisce direttamente.
Richard Ford ha paragonato questa sfida a Log4Shell, sottolineando la difficoltà che le organizzazioni possono incontrare nell’identificare dove il software vulnerabile sia integrato all’interno di applicazioni e sistemi di terze parti.
«Le aziende devono collaborare strettamente con i propri fornitori per valutare la propria esposizione al rischio e verificare quali misure vengono adottate. Il rischio va oltre i sistemi che gestiscono direttamente.»
Ciò trasforma quella che sembra essere una questione di gestione delle vulnerabilità in un problema più ampio di visibilità e di rischio legato a terze parti. Un’organizzazione può avere una solida conoscenza dell’infrastruttura che gestisce direttamente, ma ciò lascia comunque aperta una domanda importante:
Con quale rapidità potreste stabilire se una vulnerabilità critica appena resa nota sia presente in qualche punto del vostro ecosistema tecnologico più ampio? Ilnostro servizio di gestione dei rischi di terze parti può esservi d’aiuto.
Sebbene PHP2Shell abbia fatto notizia in tutto il mondo, la sua implicazione più significativa risiede altrove. Potrebbe essere uno degli esempi più evidenti finora di come l’IA stia cambiando il modo di individuare le vulnerabilità.
Per anni, il settore della sicurezza informatica ha operato partendo dal presupposto che le vulnerabilità sarebbero state scoperte attraverso una combinazione di ricerca sulla sicurezza, test, revisioni del codice e programmi di bug bounty. L’analisi assistita dall’intelligenza artificiale ha messo in discussione tale presupposto e ha accelerato notevolmente il processo, consentendo ai ricercatori di identificare punti deboli che avrebbero potuto rimanere nascosti nel software per anni, o addirittura decenni.
Si tratta sia di un’opportunità che di una sfida. Da un lato, l’IA può aiutare a scoprire e affrontare i rischi prima che vengano sfruttati. Dall’altro, porterà a un aumento del numero di vulnerabilità critiche scoperte in un lasso di tempo molto più breve.
La gestione tradizionale delle vulnerabilità si è basata, in parte, sulla disponibilità di un lasso di tempo sufficiente tra la scoperta, la divulgazione, lo sfruttamento e la correzione. Poiché l’IA accelera la fase di scoperta, le organizzazioni devono valutare se i propri processi, risorse e tecnologie siano in grado di tenere il passo.
La divulgazione di PHP2Shell ha suscitato proprio queste discussioni all’interno di Integrity360. La priorità non era semplicemente applicare le patch ai sistemi interessati, ma comprendere rapidamente l’esposizione dell’organizzazione: identificare le risorse esposte a Internet, valutare il potenziale impatto e determinare la risposta più appropriata, che si trattasse di applicare patch, implementare controlli compensativi, condurre ulteriori valutazioni o, in alcuni casi, mettere offline i sistemi vulnerabili.
In un’era in cui l’individuazione delle vulnerabilità è guidata dall’intelligenza artificiale, la resilienza informatica dipenderà sempre più dalla rapidità con cui le organizzazioni saranno in grado di comprendere la propria esposizione e agire prima che lo facciano gli aggressori.
C’è anche un elemento proattivo in cui l’IA dovrebbe fornire supporto. PHP2Shell ha dimostrato la potenza dell’utilizzo dell’IA sul codice e sulle piattaforme per individuare le vulnerabilità. Qualsiasi organizzazione che sviluppi applicazioni dovrebbe prestare attenzione a questo esempio e garantire che l’analisi della sicurezza delle applicazioni basata sull’IA sia integrata nel ciclo di vita dello sviluppo del software (SDLC) per agire in modo proattivo.
PHP2Shell dimostra i limiti di una visione della gestione delle vulnerabilità intesa esclusivamente come un ciclo che consiste nell’individuare un CVE e nell’installare una patch.
Quando viene resa nota una vulnerabilità critica, i team di sicurezza devono rispondere rapidamente a diverse domande:
Di quali risorse disponiamo?
Non è possibile valutare l’esposizione a qualcosa di cui non si conosce l’esistenza.
Quali di questi asset sono esposti?
I sistemi collegati a Internet potrebbero richiedere un'attenzione particolarmente urgente.
Quali vulnerabilità comportano il rischio maggiore?
I team devono distinguere le esposizioni urgenti dal volume più ampio di vulnerabilità che gestiscono.
Si è già verificato uno sfruttamento?
Laddove si sospetti una compromissione, la sola correzione potrebbe non essere sufficiente.
Le nostre azioni hanno effettivamente eliminato la vulnerabilità?
La correzione deve essere seguita da una verifica.
Materiale diffuso internamente da "First Take" di Gartner: Risolvere subito il problema del PHP, ma occuparsi poi della gestione delle vulnerabilità ha analogamente collegato la questione PHP alla gestione dell’esposizione e al CTEM, includendo inventario, individuazione, convalida dei problemi, pianificazione, test e correzione.
PHP2Shell non sarà l’ultima vulnerabilità urgente che le aziende dovranno affrontare.
Anziché considerarlo un incidente isolato, i responsabili della sicurezza dovrebbero sfruttarlo per verificare se la propria organizzazione è in grado di rispondere a cinque domande fondamentali:
1. Sappiamo quali sono le nostre tecnologie più esposte?
Mantenere una visibilità sufficiente sulle risorse interne e connesse a Internet per identificare rapidamente le tecnologie interessate quando viene resa nota una grave vulnerabilità.
2. Siamo in grado di determinare rapidamente il nostro livello di esposizione?
Sapere che esiste una vulnerabilità è diverso dal sapere se questa influisce sulla propria organizzazione.
3. Comprendiamo la nostra esposizione nei confronti di terze parti?
Chiedete ai fornitori quale tecnologia venga utilizzata nei servizi che forniscono, se le vulnerabilità recentemente rese note abbiano un impatto su tali servizi e quali misure correttive siano state adottate.
4. Siamo in grado di individuare i segnali di una compromissione?
Per PHP2Shell, abbiamo consigliato di cercare indicatori quali attività di shell inattese e richieste web in uscita sospette. A seconda della vulnerabilità individuata, gli indicatori potranno variare.
5. Siamo in grado di reagire con la rapidità richiesta dalla minaccia?
La risposta potrebbe comportare l’applicazione di patch, la messa temporanea fuori servizio di un servizio, la valutazione di potenziali compromissioni o l’applicazione di altri controlli appropriati a seconda della vulnerabilità e del sistema coinvolto.
La capacità fondamentale è quella di poter prendere tale decisione sulla base di una comprensione accurata della propria esposizione.
La priorità immediata riguardo a PHP2Shell è chiara: le organizzazioni interessate devono comprendere la propria esposizione, applicare le patch ai sistemi colpiti e indagare su potenziali compromissioni, ove opportuno.
Ma la lezione più ampia dovrebbe durare ben oltre la durata della vulnerabilità stessa.
I team di sicurezza informatica hanno sempre più bisogno di essere in grado di comprendere continuamente la propria superficie di attacco, identificare le vulnerabilità significative, dare priorità alle esposizioni che comportano un rischio concreto e verificare che le misure correttive abbiano avuto esito positivo.
Man mano che l’intelligenza artificiale assume un ruolo sempre più importante sia nella ricerca sulla sicurezza informatica che nel panorama più ampio delle minacce, la capacità di agire rapidamente in questo senso diventerà ancora più fondamentale.
La vulnerabilità PHP2Shell pone alle organizzazioni una semplice domanda:
Quando verrà scoperta la prossima vulnerabilità critica, in quanto tempo saprete se siete a rischio?
Essere a conoscenza di una vulnerabilità critica è solo il primo passo. Sapere dove si è esposti, quali aspetti devono essere considerati prioritari e se si è già verificata una compromissione è ciò che consente di agire in modo efficace.
Integrity360 può aiutare le organizzazioni a comprendere la propria superficie di attacco, identificare le vulnerabilità, valutare potenziali compromissioni e rafforzare il proprio approccio alla gestione delle vulnerabilità e dell’esposizione.
Rivolgetevi ai nostri esperti di sicurezza informatica per comprendere la vostra esposizione e prepararvi a ciò che vi aspetta.
Che cos'è PHP2Shell?
PHP2Shell è il nome dato a due vulnerabilità critiche di PHP, CVE-2026-109618 e CVE-2026-109619, che possono consentire l'esecuzione di codice da remoto sui sistemi interessati. Le vulnerabilità interessano un'ampia gamma di versioni di PHP e possono comportare un rischio significativo per le applicazioni esposte a Internet.
Perché PHP2Shell è considerato così grave?
Un attacco riuscito potrebbe consentire a un malintenzionato di eseguire codice in remoto su un server vulnerabile. Data la diffusione capillare di PHP su siti web, applicazioni web e servizi aziendali, la potenziale superficie di attacco è notevole.
Cosa distingue PHP2Shell dalle vulnerabilità precedenti?
Queste vulnerabilità sono degne di nota non solo per la loro gravità, ma anche perché, secondo quanto riferito, la ricerca assistita dall’intelligenza artificiale ha svolto un ruolo fondamentale nell’identificazione di difetti rimasti nascosti per molti anni in software di largo uso. Ciò evidenzia come l’intelligenza artificiale stia cambiando la velocità e la portata della scoperta delle vulnerabilità.
Quali sistemi potrebbero essere interessati?
Qualsiasi applicazione, servizio o piattaforma che utilizzi una versione vulnerabile di PHP potrebbe essere a rischio. Ciò può includere sia applicazioni sviluppate internamente sia piattaforme popolari come WordPress, Joomla e Magento, dove sono in uso le versioni di PHP interessate.
Come faccio a sapere se la mia organizzazione è vulnerabile?
Inizia individuando dove è implementato PHP nel tuo ambiente, in particolare sui sistemi esposti a Internet. I team di sicurezza dovrebbero determinare:
I fornitori di servizi gestiti e i produttori di software sono coinvolti?
Potenzialmente sì. Molte organizzazioni si affidano a fornitori terzi i cui prodotti o servizi utilizzano PHP. È importante contattare i fornitori per verificare se sono stati colpiti, quali misure di mitigazione sono state adottate e se sono disponibili patch.
Sono stati rilevati casi di sfruttamento della vulnerabilità?
Data la divulgazione pubblica delle vulnerabilità e le segnalazioni di attacchi proof-of-concept, le organizzazioni dovrebbero presumere che gli autori delle minacce tenteranno di sfruttare i sistemi non aggiornati e monitorare attentamente eventuali segni di compromissione.
Cosa dovrebbero fare immediatamente le organizzazioni?
Le organizzazioni dovrebbero:
PHP2Shell cambia il modo in cui le organizzazioni dovrebbero affrontare la gestione delle vulnerabilità?
Sì. PHP2Shell evidenzia la crescente importanza della visibilità delle risorse, della gestione della superficie di attacco e della correzione rapida. Poiché l’intelligenza artificiale accelera l’individuazione delle vulnerabilità, le organizzazioni potrebbero avere meno tempo a disposizione tra la divulgazione e il tentativo di sfruttamento.
Qual è la lezione fondamentale che si può trarre da PHP2Shell?
Le vulnerabilità più pericolose non sono sempre quelle nuove. Alcune potrebbero esistere da anni, nascoste in software di largo uso, finché nuove tecnologie, come l’analisi basata sull’intelligenza artificiale, non ne facilitano l’individuazione. Le organizzazioni in grado di identificare rapidamente la propria esposizione e di reagire saranno nella posizione migliore per gestire questa nuova realtà.