il 21 ottobre 2026 PHP ha rilasciato aggiornamenti di sicurezza per correggere due vulnerabilità critiche, identificate come PHP2Shell (CVE-2026-109618 e CVE-2026-109619), che possono consentire ad attaccanti non autenticati di eseguire codice da remoto o sottrarre informazioni sensibili dai server vulnerabili.
Il rischio è particolarmente elevato perché le vulnerabilità interessano direttamente il runtime PHP e non una specifica applicazione. Di conseguenza, piattaforme diffuse come WordPress, Drupal, Joomla, Magento e Laravel, così come web applications e software di terze parti, possono risultare esposti se utilizzano versioni PHP non aggiornate.
Uno degli aspetti più insidiosi di PHP2Shell è la possibilità di sfruttare il problema già durante l’inizializzazione delle richieste HTTP, prima ancora che venga eseguito il codice applicativo. Inoltre, una delle vulnerabilità permette di leggere la memoria dei processi PHP, esponendo password, token, chiavi API e certificati senza necessariamente generare un’esecuzione di codice o una shell, rendendo il rilevamento più complesso.
La priorità per le organizzazioni è quindi aggiornare tutti i runtime PHP interessati alle versioni corrette: 8.5.12, 8.4.27, 8.3.36 e 8.2.35, oppure applicare le patch distribuite dai rispettivi vendor. È indispensabile riavviare Apache, PHP-FPM e gli altri processi PHP attivi. Le versioni fuori supporto, come PHP 8.1 e precedenti, devono essere aggiornate o isolate da Internet. È inoltre opportuno verificare le installazioni esposte e ruotare le credenziali potenzialmente compromesse.
A rafforzare la strategia di difesa interviene SentinelOne con la piattaforma Singularity, che monitora i comportamenti successivi allo sfruttamento, individuando attività anomale come l’avvio di shell, l’installazione di webshell, il download di payload e le connessioni verso infrastrutture esterne. In modalità Protect può inoltre interrompere i processi malevoli e mettere in quarantena gli artefatti sospetti.
A completare la protezione contribuiscono Singularity AI SIEM, che correla la telemetria di endpoint, web server, WAF e CDN, e Purple AI, che supporta i team SOC nelle attività di threat hunting per individuare possibili compromissioni.
In sintesi, le patch restano l’unica soluzione definitiva, mentre SentinelOne aggiunge un livello di rilevamento e contenimento fondamentale per limitare le conseguenze di un eventuale attacco. Al 21 ottobre 2026, non risultavano compromissioni confermate, ma erano già stati osservati tentativi di attacco.
