Il linguaggio PHP, che alimenta circa il 70% dei siti web, sarebbe affetto da due gravi vulnerabilità che consentirebbero l'esecuzione remota di codice. Il team di sviluppo ha annunciato il 20 ottobre che gli aggiornamenti urgenti per risolvere il problema sono stati rilasciati il giorno precedente.

Il punteggio ufficiale di gravità delle falle, calcolato secondo la scala CVSS v4.0, è di 9,2. Tuttavia la società di cybersecurity watchTowr ha definito la minaccia con il punteggio massimo di 10 su 10. Gli intervalli di versioni interessate e i dettagli tecnici non sono ancora stati condivisi, ma milioni di amministratori di sistema sono passati in stato di allerta.

La scoperta firmata dall'intelligenza artificiale

php1

Errori logici che un audit manuale del codice avrebbe potuto trascurare per anni sono stati individuati questa volta grazie all'intelligenza artificiale. Il team di ricerca Calif ha scoperto le vulnerabilità utilizzando il modello GPT-5.6 Sol di OpenAI, mentre Wiz, società di proprietà di Google, ha confermato indipendentemente il ritrovamento con i propri strumenti basati su IA.

Secondo il rapporto di Wiz, trasformare queste falle in strumenti d'attacco era in passato un processo estremamente laborioso. I modelli di intelligenza artificiale hanno accelerato notevolmente l'analisi del codice e la preparazione degli scenari d'attacco, facilitando la conversione di bug latenti da tempo nel codice in strumenti d'attacco pratici.

PHP2Shell e le piattaforme interessate

Le vulnerabilità, tracciate con gli identificativi CVE-2026-109618 e CVE-2026-109619, permetterebbero l'esecuzione remota di codice. Nelle immagini dello strumento di exploit denominato "PHP2Shell", contenute nel materiale trapelato, si vedrebbe l'esecuzione di codice sulle principali piattaforme basate su PHP. I software in questione sono: WordPress 7.1.3, MediaWiki 1.46.2, phpBB 3.3.17, Magento 2.4.9, Joomla 6.2.0, Laravel 13.36.0, Symfony 8.1.9, Drupal 11.4.10 e WHMCS 9.0.9.

watchTowr ha confermato che le vulnerabilità sono reali e di essere riuscita a riprodurne almeno una in ambiente di laboratorio. La società Sansec ha invece avvertito che, dopo l'uscita delle patch, la prima grande ondata di attacchi potrebbe partire in soli 15 minuti, raccomandando di agire con rapidità.

Perché PHP è così critico?

p2

PHP è il linguaggio che gestisce le operazioni lato server di gran parte dei siti che visitiamo ogni giorno: si occupa del traffico dati e del carico di calcolo, eseguendo i processi complessi non sul dispositivo dell'utente ma su server remoti.

Si stima che il linguaggio sia utilizzato dal 70% di Internet. Considerando che sistemi diffusissimi come WordPress si basano proprio su PHP, è evidente quanto ampio possa essere il potenziale impatto della vulnerabilità scoperta.