Il PHP Group ha pubblicato gli aggiornamenti di sicurezza per due falle critiche che interessano il linguaggio di scripting più diffuso del web. Le vulnerabilità sono state ribattezzate PHP2Shell e, secondo gli analisti, consentono a un attaccante di eseguire codice arbitrario sul server senza alcuna autenticazione preventiva. Un rischio enorme per chiunque gestisca applicazioni, CMS o semplici pagine dinamiche basate su PHP.
Come funziona l'attacco
Le due falle sfruttano un errore nella gestione di input malevoli che, se non filtrati, finiscono per essere interpretati come comandi di sistema. In pratica, un malintenzionato può inviare una richiesta HTTP costruita ad hoc e ottenere l'esecuzione di istruzioni sul server remoto, con la possibilità di leggere file sensibili, installare backdoor o compromettere l'intera macchina. PHP2Shell è particolarmente insidioso perché non richiede credenziali e può essere attivato anche da un semplice browser.
Chi deve aggiornare e come
Le patch sono già disponibili per le versioni supportate di PHP. Gli amministratori di sistema e i responsabili di piattaforme web sono chiamati a installare immediatamente gli aggiornamenti, verificando anche eventuali componenti di terze parti che potrebbero includere versioni obsolete del motore PHP. Chi non interviene resta esposto a esecuzione di codice da remoto, con conseguenze potenzialmente devastanti in termini di data breach e continuità operativa. Il consiglio degli esperti è chiaro: non rimandare, applicare le patch oggi stesso e, dove possibile, riavviare i servizi per rendere effettiva la correzione.
