Caso PHP2Shell: la falla che scuote la rete impone un ripensamento della cybersecurity

Nelle ultime ore diversi siti istituzionali europei sono stati messi offline di proposito, per precauzione. Non si tratta di un guasto né di un attacco rivendicato: è la risposta a una vulnerabilità battezzata PHP2Shell, che da giorni tiene in allarme il mondo del web.

PHP2Shell nasce dalla combinazione di due falle informatiche, identificate come CVE-2026-109618 e CVE-2026-109619. Il problema riguarda il linguaggio di programmazione PHP, su cui poggia gran parte dell'infrastruttura web mondiale. Messe insieme, le due falle permettono di ottenere il controllo remoto dei server vulnerabili. Lo sfruttamento, spiega l'esperto di cybersicurezza Fabio Cassanelli, non richiede alcuna interazione da parte dell'utente: per questo i sistemi esposti possono essere attaccati in tempi estremamente rapidi.

L'individuazione delle vulnerabilità è stata supportata da sistemi di intelligenza artificiale, impiegati nella ricerca sul codice sorgente. Poi è arrivato l'errore: per una svista procedurale, i dettagli tecnici sono stati pubblicati in anticipo. Secondo Cassanelli, le immagini diffuse prima del tempo hanno offerto agli attori ostili un vettore cruciale di reverse engineering, azzerando di fatto la finestra utile per la mitigazione preventiva. Enti, agenzie e dipartimenti IT hanno dovuto intervenire d'urgenza, spesso scollegando siti e infrastrutture critiche.

Un tassello della vicenda riguarda il 2024. Una falla originaria era stata segnalata già allora, ma il team di sviluppo di PHP non la corresse. Cassanelli ipotizza, e lo presenta come una valutazione verosimile, che fosse stata giudicata un difetto teorico o a basso rischio, non prioritario. Oggi quella vecchia anomalia, unita alla nuova falla, forma la catena che consente l'esecuzione di codice arbitrario da remoto.

Per chi gestisce i sistemi, l'indicazione è una sequenza. Primo, isolare i servizi critici, come hanno fatto alcuni enti europei, in attesa delle patch definitive. Poi aggiornare le versioni vulnerabili di PHP, analizzare i log applicativi e di sistema per cercare tentativi di compromissione già avvenuti e adottare regole stringenti sui firewall applicativi. I Web Application Firewall e i sistemi di rilevamento delle anomalie aiutano a intercettare alcuni tentativi, ma, avverte l'esperto, sono una protezione complementare e non sostituiscono l'installazione delle patch.

Il rischio per gli utenti finali è concreto. L'accesso non autorizzato ai server consente l'esfiltrazione di interi database, con dati sensibili, credenziali e informazioni finanziarie esposti a furti di identità e frodi su larga scala. Stabilire se si è già stati colpiti richiede analisi forense avanzata, ed è difficile perché gli attaccanti tendono a cancellare le tracce.

Sul piano strutturale, Cassanelli indica due nodi. Il primo è la dipendenza da tecnologie di terze parti: PHP è alla base di piattaforme diffuse come WordPress e Drupal, e una falla senza credenziali trasforma una debolezza tecnica in un rischio globale per pubbliche amministrazioni, aziende e fornitori. Il secondo è il perimetro di sicurezza, ormai esteso a cloud, applicazioni web e piattaforme esterne su cui le aziende hanno poca visibilità; serve quindi valutare e monitorare l'intera filiera dei fornitori. Quanto all'intelligenza artificiale, spesso descritta come acceleratore degli attacchi, qui ha funzionato da risorsa difensiva, perché ha scovato le falle e indica la strada di un monitoraggio continuo della superficie di attacco.

Il tempo non lavora a favore. Anche con le correzioni disponibili, una quota rilevante di infrastrutture gira su sistemi obsoleti o privi di manutenzione attiva: la vulnerabilità, avverte Cassanelli, resterà sfruttabile per mesi sui server non presidiati.