PHP2Shell: falle critiche in PHP, scattano gli aggiornamenti d'emergenza
L'agenzia statunitense CISA raccomanda di scollegare dalla rete i server PHP che non possono essere aggiornati subito. Un primo tentativo di attacco sarebbe avvenuto già quattro giorni prima della divulgazione.
Di Marcel
Tradotto automaticamente dal tedesco · può contenere errori · Leggi l’originale
A causa di due vulnerabilità critiche nel linguaggio di scripting PHP, il team di PHP ha pubblicato mercoledì 21 ottobre aggiornamenti d'emergenza. L'agenzia statunitense per la cybersicurezza CISA ha invitato i gestori ad aggiornare subito i propri sistemi o a scollegarli dalla rete.
Le falle, denominate PHP2Shell e catalogate come CVE-2026-109618 e CVE-2026-109619, consentono secondo la CISA l'esecuzione di codice da remoto senza autenticazione. Gli aggressori possono quindi eseguire codice arbitrario su un server senza effettuare alcun accesso. Le vulnerabilità hanno un punteggio CVSS di 9,2 su una scala che arriva a 10.
Le falle sono state corrette nelle versioni PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Chi usa PHP 8.1 o versioni precedenti, o non può aggiornare subito, dovrebbe scollegare i sistemi dalla rete, secondo la raccomandazione della CISA. Il Centro nazionale per la cybersicurezza britannico (NCSC) dà la stessa indicazione per i sistemi che non possono essere aggiornati immediatamente.
Tentativo di attacco prima della divulgazione
Secondo Amazon Threat Intelligence, la divisione sicurezza del gruppo statunitense, già sabato 17 ottobre ci sarebbe stato un tentativo di sfruttare le falle, quattro giorni prima della loro divulgazione.
Il produttore di apparati di rete Cisco ha comunicato, in un avviso di sicurezza relativo ai propri prodotti, che al suo team di sicurezza non risultano sfruttamenti malevoli. Non esisterebbero soluzioni alternative (workaround).
Secondo il quotidiano New York Times, molti gestori hanno messo precauzionalmente offline numerosi siti. Un server non aggiornato avrebbe potuto essere preso completamente sotto controllo.
Circa il 69 per cento dei siti web usa PHP
La portata del problema deriva dalla diffusione del linguaggio. Secondo i dati del servizio di analisi W3Techs del 22 ottobre, PHP è alla base del 69,3 per cento di tutti i siti per i quali è possibile riconoscere il linguaggio lato server. Il solo sistema di gestione dei contenuti WordPress, basato su PHP, rappresenta secondo i dati circa il 40 per cento di tutti i siti web nel mondo.
PHP viene eseguito sul server e vi genera HTML o altri output che vengono inviati al browser. Il codice sorgente resta sul server. Tra i grandi utilizzatori figurano Wikipedia con il suo software MediaWiki, i sistemi Drupal, Joomla e Magento e la piattaforma di e-commerce Etsy.
Il linguaggio è nato da uno strumento personale. Il programmatore danese-canadese Rasmus Lerdorf scrisse nel 1994/1995 alcuni script per contare le visite alla sua homepage e per elaborare moduli. Nel giugno 1995 pubblicò il codice con il nome "Personal Home Page Tools". Oggi PHP sta per "PHP: Hypertext Preprocessor".
PHP non era mai stato pensato come linguaggio di programmazione a tutti gli effetti. Lerdorf ha dichiarato in seguito di aver semplicemente aggiunto sempre il passo pratico successivo. Poiché era facile da imparare e funzionava su hosting web economici, il linguaggio è diventato lo standard per i siti web dinamici.
Molti siti usano ancora vecchie versioni di PHP
Secondo W3Techs, circa il 65 per cento dei siti PHP utilizza la versione 8, il 27 per cento ancora PHP 7 e quasi l'8 per cento PHP 5. Le installazioni obsolete con PHP 7 e versioni precedenti restano un rischio per la sicurezza.
Secondo la PHP Foundation, al momento PHP 8.5 e 8.4 sono mantenuti attivamente, mentre PHP 8.3 e 8.2 ricevono solo aggiornamenti di sicurezza. Le versioni precedenti non ricevono più aggiornamenti ufficiali. Per PHP 8.2 il supporto termina a fine 2026, per PHP 8.5 a fine 2029. La prossima versione, PHP 8.6, è prevista per novembre.