AGI - "Aggiornare immediatamente i sistemi vulnerabili": è la raccomandazione lanciata dall'Agenzia per la cybersicurezza nazionale a tutti i gestori delle infrastrutture interessate. "Dall'attività di monitoraggio del Csirt (Computer security incident response team) Italia e dall'analisi dell'esposizione nazionale - è l'alert dell'Agenzia - emerge che l'81,9% dei servizi PHP con versione identificata risulta potenzialmente vulnerabile a PHP2Shell".
PHP è un linguaggio di programmazione 'open source' utilizzatissimo per la realizzazione e la gestione di siti Internet dinamici e applicazioni web. È uno dei piùà diffusi al mondo: si stima che siano sette su dieci i siti che utilizzano questo tipo di linguaggio di programmazione, un utente accede a una pagina web, il server esegue le istruzioni PHP, elabora eventuali dati e invia al browser il contenuto richiesto. Questa tecnologia permette di offrire servizi interattivi senza richiedere all'utente l'installazione di software specifici.
Il sistema nei giorni scorsi era finito al centro delle cronache per la scoperta di due gravi vulnerabilità. Malgrado fossero stati segnalati gli aggiornamenti e le correzioni da apportare c'è stata un'ondata di tentativi di attacchi informatici che ha costretto siti istituzionali e servizi di aziende a sospendere temporaneamente i servizi di molti siti. Le due vulnerabilità, identificate come CVE-2026-109618 e CVE-2026-109619 e conosciute con il nome PHP2Shell, hanno ricevuto entrambe un punteggio di gravità di 9,2 su 10. Derivano da problemi nella gestione della memoria e possono consentire, in determinate condizioni, l'esecuzione di codice da remoto senza autenticazione, permettendo potenzialmente agli aggressori di prendere il controllo dei server.
Il linguaggio di programmazione PHP è alla base di una percentuale predominante dei siti web a livello globale. E negli ultimi giorni, la scoperta della vulnerabilità denominata PHP2Shell, composta dalle falle informatiche CVE-2026-109618 e CVE-2026-109619, ha innescato un'emergenza globale.
Secondo i dati di esposizione disponibili a oggi, "su 741.523 servizi PHP rilevati in Italia, 285.149 risultano utilizzare versioni potenzialmente vulnerabili. Tali rilevazioni evidenziano la necessità di accelerare gli interventi di aggiornamento e messa in sicurezza delle infrastrutture interessate".
Le vulnerabilità CVE2026-109618 e CVE-2026-109619, entrambe di "gravita' critica" potrebbero infatti "consentire a un attaccante remoto non autenticato di eseguire codice arbitrario sui sistema interessati, con potenziali impatti su riservatezza, integrità e disponibilità delle risorse compromesse". Inoltre per una ulteriore vulnerabilità, identificata dalla CVE-2026-115560, "non risulta ancora disponibile un aggiornamento correttivo. La vulnerabilità potrebbe consentire l'esecuzione di codice da remoto in presenza di specifiche condizioni applicative e di configurazione". AI gestori viene ribadita "la necessità di intervenire con la massima tempestività, dando priorità ai sistemi direttamente esposti su Internet".
- "Aggiornare immediatamente le installazioni PHP vulnerabili alle versioni corrette, verificando l'effettiva applicazione degli aggiornamenti di sicurezza, anche in presenza di pacchetti gestiti dai fornitori delle distribuzioni";
- "disabilitare il parametro session.upload_progress.enabled, impostandone il valore a 0, secondo le indicazioni del vendor, al fine di mitigare la CVE-2026115560, per la quale non è ancora disponibile una patch";
-"Configurare i Web application firewall (Waf) in modalità blocco, qualora siano disponibili specifiche regole di protezione per le vulnerabilità in oggetto, verificandone l'attivazione e l'efficacia. Tali misure non devono essere considerate sostitutive degli aggiornamenti di sicurezza";
-"Valutare la disattivazione dei servizi vulnerabili, ponendoli offline qualora non sia possibile procedere tempestivamente all'aggiornamento o adottare misure di mitigazione efficaci, fino al ripristino di adeguate condizioni di sicurezza";
- "Effettuare verifiche retrospettive sui log e sugli eventi di sicurezza, al fine di individuare eventuali indicatori di sfruttamento o compromissione, con particolare attenzione a richieste HTTP anomale, errori di esaurimento della memoria e interruzioni inattese dei processi PHP".