Tutti i siti web italiani che usano i servizi PHP e non hanno effettuato l’aggiornamento sono a rischio di cyberattacchi. Per questo motivo l’Agenzia per la Cybersicurezza Nazionale (ACN) ha lanciato in queste ore l’alert: Dalle attività di monitoraggio del CSIRT Italia e dall’analisi dell’esposizione nazionale”, si legge nella nota tecnica di ACN, “emerge che l’81,9% dei servizi PHP con versione identificata risulta potenzialmente vulnerabile a PHP2Shell”.

Soltanto il 18% circa dei soggetti italiani interessati ha effettuato l’aggiornamento per sanare le due vulnerabilità a PHP, uno dei linguaggi di programmazione più usato nel mondo per far funzionare una parte enorme del Web. Le due gravi falle sono state comunicate, con l’apporto di GPT-5.6 Sol di OpenAI, dalla startup di cybersecurity Calif.io il 21 ottobre scorso.

• A 4 giorni di distanza, in Italia su 741.523 servizi PHP rilevati in Italia, 285.149 risultano utilizzare versioni potenzialmente vulnerabili, pari all’81,9% dei servizi per i quali è stato possibile identificare la versione in uso.

Tutti i siti web italiani che usano i servizi PHP e non hanno effettuato l’aggiornamento sono a rischio di cyberattacchi. Per questo motivo l’Agenzia per la Cybersicurezza Nazionale (ACN) ha lanciato in queste ore l’alert:

• “Dalle attività di monitoraggio del CSIRT Italia e dall’analisi dell’esposizione nazionale”, si legge nella nota tecnica di ACN, “emerge che l’81,9% dei servizi PHP con versione identificata risulta potenzialmente vulnerabile a PHP2Shell”.
• Per cui l’Agenzia “sollecita l’aggiornamento immediato e la disabilitazione di session.upload_progress.enabled per la CVE-2026-115560, ancora priva di patch”.
• E poi “ove disponibili regole specifiche, configurare i WAF in modalità blocco; in assenza di mitigazioni efficaci, valutare di porre offline i servizi”.

L’alert completo dell’ACN

Come già evidenziato nell’ambito della AL07/261021/CSIRT-ITA, le vulnerabilità CVE-2026-109618 e CVE-2026-109619, entrambe di gravità critica (CVSS v4.0 pari a 9,2), potrebbero consentire a un attaccante remoto non autenticato di eseguire codice arbitrario sui sistemi interessati, con potenziali impatti sulla riservatezza, integrità e disponibilità delle risorse compromesse.

Si evidenzia, inoltre, che il vendor ha recentemente segnalato un’ulteriore vulnerabilità, identificata dalla CVE-2026-115560, per la quale non risulta ancora disponibile un aggiornamento correttivo.

La vulnerabilità potrebbe consentire l’esecuzione di codice da remoto in presenza di specifiche condizioni applicative e di configurazione. In particolare, lo sfruttamento richiede che il parametro session.serialize_handler, inizialmente configurato su php_binary o php_serialize, venga modificato dinamicamente a php prima dell’avvio della sessione e che la funzionalità di monitoraggio dell’avanzamento degli upload risulti abilitata.

Le correzioni già distribuite per le CVE-2026-109618 e CVE-2026-109619 non risolvono la CVE-2026-115560, per la quale il vendor ha indicato una specifica misura di mitigazione, in attesa del rilascio della patch.

Alla luce dell’elevata criticità delle vulnerabilità, dei recenti tentativi di sfruttamento e alla disponibilità pubblica di Proof of Concept (PoC), si richiama l’attenzione dei gestori sulla necessità di intervenire con la massima tempestività, dando priorità ai sistemi direttamente esposti su Internet.

Prodotti e versioni affette

Per le vulnerabilità CVE-2026-109618 e CVE-2026-109619 risultano interessate le seguenti versioni di PHP:

• 8.5.x, precedenti alla 8.5.12;
• 8.4.x, precedenti alla 8.4.27;
• 8.3.x, precedenti alla 8.3.36;
• 8.2.x, precedenti alla 8.2.35;
• 8.1 e precedenti, non più supportate dal progetto PHP.

Per la CVE-2026-115560 l’effettiva esposizione dipende dalle specifiche condizioni applicative e di configurazione sopra descritte e non può essere determinata esclusivamente sulla base della versione PHP installata.

Azioni di mitigazione

Alla luce dell’elevata esposizione rilevata e della criticità delle vulnerabilità, si raccomanda ai gestori delle infrastrutture interessate di procedere con la massima tempestività alla messa in sicurezza dei sistemi, dando priorità a quelli direttamente esposti su Internet.

In particolare, si raccomanda di:

• Aggiornare immediatamente le installazioni PHP vulnerabili alle versioni corrette, verificando l’effettiva applicazione degli aggiornamenti di sicurezza, anche in presenza di pacchetti gestiti dai fornitori delle distribuzioni.
• Disabilitare il parametro session.upload_progress.enabled, impostandone il valore a 0, secondo le indicazioni del vendor, al fine di mitigare la CVE-2026-115560, per la quale non è ancora disponibile una patch. Verificare che la configurazione sia effettivamente applicata ai processi PHP interessati.
• Configurare i Web Application Firewall (WAF) in modalità blocco, qualora siano disponibili specifiche regole di protezione per le vulnerabilità in oggetto, verificandone l’attivazione e l’efficacia. Tali misure non devono essere considerate sostitutive degli aggiornamenti di sicurezza.
• Valutare la disattivazione dei servizi vulnerabili, ponendoli offline qualora non sia possibile procedere tempestivamente all’aggiornamento o adottare misure di mitigazione efficaci, fino al ripristino di adeguate condizioni di sicurezza.
• Effettuare verifiche retrospettive sui log e sugli eventi di sicurezza, al fine di individuare eventuali indicatori di sfruttamento o compromissione, con particolare attenzione a richieste HTTP anomale, errori di esaurimento della memoria e interruzioni inattese dei processi PHP.

Si ribadisce la necessità di intervenire immediatamente sui sistemi esposti e potenzialmente vulnerabili, adottando le misure di contenimento indicate anche nei casi in cui l’aggiornamento non possa essere eseguito nell’immediato.

Vai al sito di Cybersecurity Italia.

L'articolo L’alert dell’ACN: “In Italia a rischio vulnerabilità oltre 250mila servizi PHP, fare subito l’aggiornamento”. PHP è uno dei linguaggi per far funzionare gran parte del Web sembra essere il primo su CyberSecurity Italia.