PHP2Shell, l’ACN: controllate i prodotti di terzi che integrano PHP
Chi gestisce servizi, apparati di rete o dispositivi con interfaccia web di gestione deve verificare se contengono PHP integrato. Lo chiede il CSIRT Italia dell’ACN con l’alert AL10/261028/CSIRT-ITA, pubblicato il 28 ottobre 2026. Le vulnerabilità critiche «PHP2Shell» non toccano solo le installazioni PHP gestite direttamente: possono riguardare anche prodotti di terzi che usano PHP come componente.
Secondo l’ACN, se questi prodotti montano versioni vulnerabili in condizioni che permettono lo sfruttamento, un attaccante remoto non autenticato potrebbe eseguire codice arbitrario sul sistema. Come riporta l’alert dell’ACN, per il controllo si parte dall’inventario del centro olandese NCSC-NL e dai bollettini dei produttori.
Chi deve controllare e cosa fare
Le azioni indicate dall’ACN sono due:
- verificare la presenza di componenti PHP nei prodotti e negli apparati in uso, usando l’inventario del NCSC-NL e le indicazioni dei rispettivi produttori;
- se si trovano prodotti vulnerabili, applicare tempestivamente gli aggiornamenti software o firmware disponibili e le eventuali mitigazioni indicate dai produttori.
Restano valide le altre raccomandazioni già date dal CSIRT nelle comunicazioni precedenti.
Cosa permette a chi attacca
Le vulnerabilità sono la CVE-2026-109618 e la CVE-2026-109619, di esecuzione remota di codice (Remote Code Execution), già descritte negli alert AL07/261021/CSIRT-ITA e AL01/261025/CSIRT-ITA. Un attaccante remoto non autenticato potrebbe inviare richieste HTTP/HTTPS predisposte ed eseguire codice arbitrario con i privilegi del processo PHP.
La tabella dell’alert segnala, per entrambe le CVE, la presenza di proof of concept e di sfruttamento. La criticità dell’alert è indicata come «Alto (78.47)».
Quali prodotti e versioni: l’inventario del NCSC-NL
L’alert non elenca prodotti e versioni specifiche. Rimanda all’inventario del NCSC-NL, il centro nazionale per la sicurezza cibernetica dei Paesi Bassi, e alle comunicazioni ufficiali dei produttori.
L’inventario è un repository GitHub dedicato a PHP2Shell, in continuo aggiornamento. Riporta:
- produttori e prodotti con dipendenze da PHP potenzialmente interessati;
- versioni;
- stato delle verifiche;
- disponibilità di correzioni;
- fonti.
Gli indirizzi sono github.com/NCSC-NL/php2shell e github.com/NCSC-NL/php2shell/blob/main/software/software_list.md.
L’ACN precisa che l’elenco non è esaustivo. La presenza di un prodotto non ne conferma la vulnerabilità, e l’assenza non permette di escluderla: le informazioni vanno verificate anche con i bollettini di sicurezza dei produttori.
