Il PHP Group ha rilasciato le patch per due vulnerabilità critiche, battezzate PHP2Shell, che consentono l'esecuzione di codice remoto senza autenticazione. Gli amministratori di sistema devono installare immediatamente le ultime versioni del popolare linguaggio di programmazione. OpenAI ha confermato che le falle sono state individuate con l'ausilio del modello GPT-5.6 Sol.
Falle critiche: cosa rischiano i server
Le due vulnerabilità, identificate come CVE-2026-109618 e CVE-2026-109619, sono state scoperte all'inizio di agosto dai ricercatori di Calif. I cybercriminali potrebbero eseguire codice arbitrario sui server senza alcuna autenticazione, con conseguenze potenzialmente devastanti: PHP alimenta oltre il 70% dei siti mondiali, inclusi quelli basati su CMS diffusi come WordPress, Drupal e Joomla. La risoluzione ha richiesto una collaborazione serrata tra PHP Foundation, Calif, OpenAI, Wiz e Cloudflare, tutte coinvolte nell'iniziativa Patch the Planet di OpenAI.
Rilascio anticipato per violazione dell'embargo
PHP Foundation aveva pianificato il rilascio delle patch per il 22 ottobre, ma Chainguard non ha rispettato l'embargo, costringendo a distribuire gli aggiornamenti in anticipo. Le vulnerabilità sono presenti a partire da PHP 5.4, anche se le versioni precedenti alla 8.1 non ricevono più supporto. Le correzioni sono incluse in PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35.
Per i più esperti, il team di sicurezza di PHP ha reso disponibili backport minimi del codice sorgente anche per PHP 7.4, 8.0 e 8.1, consentendo di applicare le correzioni manualmente alle vecchie release. Considerata la gravità delle falle, l'aggiornamento è indispensabile per chiunque gestisca infrastrutture basate su PHP.
Non tutti gli utenti installeranno le patch in tempi rapidi, quindi è quasi certo che arriveranno attacchi informatici mirati. Come riporta Reuters, alcuni governi, ospedali e scuole in Europa hanno seguito il consiglio del CERT-EU: impossibilitati ad applicare subito gli aggiornamenti, hanno deciso di spegnere temporaneamente i propri siti web per limitare l'esposizione.
