Dopo la scoperta delle vulnerabilità critiche CVE-2026-109618 e CVE-2026-109619, il CERT-AGID indica due strumenti open source per aiutare amministrazioni e tecnici a verificare l’esposizione dei sistemi PHP. Il checker di OpenAI effettua controlli senza tentare lo sfruttamento delle falle, mentre lo scanner di Assetnote esegue verifiche attive che possono incidere sul funzionamento dei servizi.

Dopo l’allarme per le vulnerabilità critiche che interessano PHP, il CERT-AGID mette a disposizione nuove indicazioni operative per aiutare le amministrazioni a verificare se i propri sistemi siano potenzialmente esposti.

Le vulnerabilità CVE-2026-109618 e CVE-2026-109619 possono consentire, in determinate condizioni, l’esecuzione di codice da remoto e hanno già spinto sviluppatori e autorità di cybersicurezza ad accelerare l’installazione degli aggiornamenti.

Il CERT-AGID segnala ora due strumenti open source che adottano approcci differenti: OpenAI PHP2Shell Checker e Assetnote PHP2Shell Scanner.

OpenAI PHP2Shell Checker: verifica senza tentare l’attacco

Il primo strumento consente di verificare la versione PHP dichiarata da un server web o installata localmente e di confrontarla con le versioni per le quali sono disponibili le correzioni di sicurezza.

Nel caso di un controllo remoto, il software analizza gli header HTTP del sito senza effettuare tentativi di sfruttamento delle vulnerabilità.

Il risultato viene classificato come OK, VULNERABLE oppure UNKNOWN. Quest’ultimo caso indica che il sistema non è riuscito a stabilire con certezza lo stato del server, per esempio perché la versione di PHP non viene resa visibile attraverso gli header.

OpenAI ha inoltre reso disponibili gli stessi strumenti come skill per Codex, permettendo di effettuare i controlli sia su siti web remoti sia su installazioni PHP locali direttamente attraverso l’assistente.

Assetnote esegue controlli più approfonditi

Il secondo strumento indicato dal CERT-AGID, Assetnote PHP2Shell Scanner, utilizza invece un approccio più invasivo.

Lo scanner invia al server richieste HTTP appositamente costruite e analizza eventuali comportamenti anomali, come errori di memoria o interruzioni inattese dei processi PHP, per individuare segnali compatibili con la presenza delle vulnerabilità.

Proprio per la natura dei test, il CERT-AGID invita però alla cautela.

A differenza del checker di OpenAI, lo strumento di Assetnote esegue controlli attivi che possono produrre errori o interferire con il funzionamento dei servizi. Il suo utilizzo viene quindi raccomandato esclusivamente su sistemi autorizzati e, quando possibile, all’interno di ambienti di test o durante finestre di manutenzione.

Un risultato negativo non basta

Il CERT-AGID sottolinea inoltre che nessuno dei due strumenti può sostituire una verifica completa dello stato dei sistemi. Un risultato negativo non garantisce infatti che il server non sia vulnerabile, mentre un risultato positivo, soprattutto nei test comportamentali, potrebbe richiedere ulteriori analisi per escludere eventuali falsi positivi.

La verifica principale resta quindi quella della versione PHP effettivamente utilizzata dal servizio web e dell’applicazione delle patch di sicurezza, comprese eventuali correzioni distribuite attraverso backport.

Priorità ai servizi esposti su Internet

L’indicazione per le amministrazioni è di coinvolgere direttamente i fornitori tecnologici nelle attività di verifica e di dare priorità ai servizi accessibili da Internet. Quando i controlli remoti non permettono di identificare la versione di PHP, gli amministratori possono effettuare verifiche direttamente sui server, controllando la versione installata, la modalità con cui PHP viene eseguito e la presenza di processi PHP-FPM.

Il CERT-AGID ricorda però che anche questi controlli rappresentano soltanto un supporto tecnico: per stabilire con certezza se un sistema sia protetto è necessario verificare quale versione di PHP venga realmente utilizzata dal servizio web e accertarsi che siano state applicate tutte le correzioni di sicurezza disponibili.

Vai al sito di Cybersecurity Italia.

L'articolo PHP2Shell, CERT-AGID segnala due strumenti per verificare i sistemi vulnerabili sembra essere il primo su CyberSecurity Italia.