Dalle attività di monitoraggio del CSIRT Italia e dall’analisi dell’esposizione nazionale emerge che l’81,9% dei servizi PHP con versione identificata risulta potenzialmente vulnerabile a PHP2Shell.
Si sollecita l’aggiornamento immediato e la disabilitazione di session.upload_progress.enabled per la CVE-2026-115560, ancora priva di patch.
Ove disponibili regole specifiche, configurare i WAF in modalità blocco; in assenza di mitigazioni efficaci, valutare di porre offline i servizi.
Tipologia
- Remote Code Execution
Descrizione e potenziali impatti
Dalle attività di monitoraggio condotte dal CSIRT Italia emerge il persistere di un’elevata esposizione, in ambito nazionale, di sistemi PHP potenzialmente vulnerabili alle criticità riconducibili a PHP2Shell.
In particolare, secondo i dati di esposizione disponibili al 25 ottobre 2026, su 741.523 servizi PHP rilevati in Italia, 285.149 risultano utilizzare versioni potenzialmente vulnerabili, pari all’81,9% dei servizi per i quali è stato possibile identificare la versione in uso.
Tali rilevazioni evidenziano la necessità di accelerare gli interventi di aggiornamento e messa in sicurezza delle infrastrutture interessate.
Si precisa che le stime, basate sulle versioni rilevate, potrebbero includere sistemi sui quali siano state applicate correzioni di sicurezza senza modifica del numero di versione.
Come già evidenziato nell’ambito della AL07/261021/CSIRT-ITA, le vulnerabilità CVE-2026-109618 e CVE-2026-109619, entrambe di gravità critica (CVSS v4.0 pari a 9,2), potrebbero consentire a un attaccante remoto non autenticato di eseguire codice arbitrario sui sistemi interessati, con potenziali impatti sulla riservatezza, integrità e disponibilità delle risorse compromesse.
Si evidenzia, inoltre, che il vendor ha recentemente segnalato un’ulteriore vulnerabilità, identificata dalla CVE-2026-115560, per la quale non risulta ancora disponibile un aggiornamento correttivo.
La vulnerabilità potrebbe consentire l’esecuzione di codice da remoto in presenza di specifiche condizioni applicative e di configurazione.
In particolare, lo sfruttamento richiede che il parametro session.serialize_handler, inizialmente configurato su php_binary o php_serialize, venga modificato dinamicamente a php prima dell’avvio della sessione e che la funzionalità di monitoraggio dell’avanzamento degli upload risulti abilitata.
Le correzioni già distribuite per le CVE-2026-109618 e CVE-2026-109619 non risolvono la CVE-2026-115560, per la quale il vendor ha indicato una specifica misura di mitigazione, in attesa del rilascio della patch.
Alla luce dell’elevata criticità delle vulnerabilità, dei recenti tentativi di sfruttamento e alla disponibilità pubblica di Proof of Concept (PoC), si richiama l’attenzione dei gestori sulla necessità di intervenire con la massima tempestività, dando priorità ai sistemi direttamente esposti su Internet.
Prodotti e versioni affette
Per le vulnerabilità CVE-2026-109618 e CVE-2026-109619 risultano interessate le seguenti versioni di PHP:
- 8.5.x, precedenti alla 8.5.12;
- 8.4.x, precedenti alla 8.4.27;
- 8.3.x, precedenti alla 8.3.36;
- 8.2.x, precedenti alla 8.2.35;
- 8.1 e precedenti, non più supportate dal progetto PHP.
Per la CVE-2026-115560 l’effettiva esposizione dipende dalle specifiche condizioni applicative e di configurazione sopra descritte e non può essere determinata esclusivamente sulla base della versione PHP installata.
Azioni di mitigazione
Alla luce dell’elevata esposizione rilevata e della criticità delle vulnerabilità, si raccomanda ai gestori delle infrastrutture interessate di procedere con la massima tempestività alla messa in sicurezza dei sistemi, dando priorità a quelli direttamente esposti su Internet.
In particolare, si raccomanda di:
- Aggiornare immediatamente le installazioni PHP vulnerabili alle versioni corrette, verificando l’effettiva applicazione degli aggiornamenti di sicurezza, anche in presenza di pacchetti gestiti dai fornitori delle distribuzioni.
- Disabilitare il parametro session.upload_progress.enabled, impostandone il valore a 0, secondo le indicazioni del vendor, al fine di mitigare la CVE-2026-115560, per la quale non è ancora disponibile una patch. Verificare che la configurazione sia effettivamente applicata ai processi PHP interessati.
- Configurare i Web Application Firewall (WAF) in modalità blocco, qualora siano disponibili specifiche regole di protezione per le vulnerabilità in oggetto, verificandone l’attivazione e l’efficacia. Tali misure non devono essere considerate sostitutive degli aggiornamenti di sicurezza.
- Valutare la disattivazione dei servizi vulnerabili, ponendoli offline qualora non sia possibile procedere tempestivamente all’aggiornamento o adottare misure di mitigazione efficaci, fino al ripristino di adeguate condizioni di sicurezza.
- Effettuare verifiche retrospettive sui log e sugli eventi di sicurezza, al fine di individuare eventuali indicatori di sfruttamento o compromissione, con particolare attenzione a richieste HTTP anomale, errori di esaurimento della memoria e interruzioni inattese dei processi PHP.
Si ribadisce la necessità di intervenire immediatamente sui sistemi esposti e potenzialmente vulnerabili, adottando le misure di contenimento indicate anche nei casi in cui l’aggiornamento non possa essere eseguito nell’immediato.
