Vulnerabilità PHP2Shell: l'IA ha trovato due falle RCE critiche in PHP

Il 21 ottobre il team di PHP ha rilasciato le versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35, che correggono due falle critiche di esecuzione remota di codice senza autenticazione: CVE-2026-109618 e CVE-2026-109619. Lo stesso giorno Wiz Research ha descritto la vulnerabilità PHP2Shell in un post dedicato, rivelando che i modelli Gemini 4 Argon e GPT-5.6 Sol hanno aiutato sia a trovarla sia a scrivere l’exploit.

Cos’è la vulnerabilità PHP2Shell?

PHP2Shell sono due falle nel motore stesso di PHP, non in un’applicazione specifica. Entrambe hanno ricevuto un punteggio CVSS 9.2. Secondo il comunicato su php.net:

1. CVE-2026-109618 riguarda la gestione dell’esaurimento della memoria (OOM). L’errore può interrompere PHP quando i dati interni della richiesta sono inizializzati solo in parte, e la pulizia di fine richiesta li tratta poi come validi.
2. CVE-2026-109619 è un caso di “stato globale obsoleto”: lo stato interno di una richiesta può sopravvivere alla liberazione della memoria, e la richiesta successiva gestita dallo stesso processo può riutilizzarlo.

Sono a rischio tutte le installazioni PHP che servono traffico web: PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed. Il caso peggiore è mod_php, dove è stato mostrato un exploit in cui una richiesta non autenticata avvia l’attacco prima che venga eseguita una sola riga di codice dell’applicazione.

Secondo Wiz, il codice vulnerabile era in PHP da oltre dieci anni e il problema riguarda le versioni fin da PHP 5.4. I ricercatori hanno dimostrato l’esecuzione remota di codice sulle immagini Docker più recenti di WordPress, Drupal e Joomla.

Che ruolo ha avuto l’IA nella scoperta di PHP2Shell?

Wiz scrive di aver usato per tutta la ricerca soprattutto il proprio strumento Wiz Atlas e i modelli Gemini 4 Argon e GPT-5.6 Sol, e che Gemini 4 Argon ha aiutato a trovare la falla, scrivere l’exploit, rilevare l’attacco e verificare la correzione. La cronologia del post di Wiz è questa:

1. 19 agosto 2026: Wiz trova la prima falla.
2. 20 agosto: conferma l’esecuzione remota di codice su Drupal.
3. 21 agosto: lo stesso su WordPress.

In pratica, dalla scoperta del bug a un attacco funzionante contro WordPress sono passati due giorni. Wiz spiega che le falle esistevano da tempo e che dimostrarne lo sfruttamento richiedeva una catena di passaggi molto complessa, ma i modelli di IA “substantially reduced that barrier, turning a longstanding flaw into an exploit”. Raluca Ada Popa, responsabile della sicurezza di Gemini in Google DeepMind, ha commentato che Wiz ha mostrato “why frontier AI is a game-changer for cyber defense”.

E non c’è solo Google. Secondo heise, il primo team ad arrivarci è stato Calif, che stava facendo un audit del codice con il PHP Ecosystem Security Team nell’ambito dell’iniziativa di OpenAI “Patch the Planet”. Wiz e OpenAI hanno riprodotto le falle con l’aiuto di LLM e hanno contribuito a verificare la correzione.

Perché se ne parla tanto?

Primo, la scala. Su PHP girano WordPress, Drupal e Joomla, e la falla scatta prima del codice dell’applicazione. L’annuncio della patch sulla lista php.announce ha raccolto su Hacker News oltre 1300 punti, prima ancora che uscissero i dettagli.

Secondo, la fuga di notizie. Secondo heise la pubblicazione era prevista per il 22 ottobre, ma è stata anticipata di un giorno perché le informazioni erano trapelate. SecurityWeek riporta che watchTowr ha ricostruito CVE-2026-109618 ancora prima delle patch, e Sansec prevede che gli attacchi di massa inizieranno “within 15 minutes of the patch release”. Per ora watchTowr e Huntress non hanno visto sfruttamenti in attacchi reali.

Terzo, la direzione. Come nel caso di Claude Mythos in Bank of America, i modelli di IA trovano bug gravi più in fretta di quanto le persone riescano a correggerli. Solo che gli stessi strumenti li hanno anche gli attaccanti, come ha mostrato bene l’attacco hacker con l’IA sulla piattaforma Cairn.

Cosa fare se usiamo PHP?

1. Aggiorniamo PHP a 8.5.12, 8.4.27, 8.3.36 o 8.2.35. Secondo php.net e Wiz è l’unica protezione completa.
2. Secondo heise, i rami più vecchi 7.4, 8.0 e 8.1 riceveranno dei backport, e le distribuzioni Linux dovrebbero pubblicare i pacchetti nel giro di poche ore.
3. Con Docker bisogna scaricare la nuova immagine e riavviare il container.
4. Controlliamo anche i dispositivi con un pannello web in PHP: NAS, router, appliance (heise cita tra gli altri pfSense, QNAP e Synology).
5. Fino all’aggiornamento aiutano le regole WAF di Cloudflare, Akamai o AWS, ma il team di PHP definisce i workaround di configurazione “a temporary crutch”.

(su un hosting condiviso chiedi al provider quando installerà le patch)

FAQ

La vulnerabilità PHP2Shell riguarda WordPress?

Sì. Wiz ha dimostrato l’esecuzione remota di codice sull’immagine più recente wordpress:latest, oltre che su Drupal e Joomla. La falla è in PHP, quindi serve aggiornare PHP, non WordPress.

Quali versioni di PHP sono sicure?

PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35 del 21 ottobre 2026 e successive. Le versioni precedenti vanno considerate vulnerabili.

Le falle sono già sfruttate?

Secondo SecurityWeek, watchTowr e Huntress non hanno visto attacchi reali, ma i dettagli sono trapelati prima della pubblicazione e Sansec si aspetta attacchi di massa subito dopo il rilascio delle patch.

Chi ha trovato PHP2Shell?

Secondo heise il primo è stato il team Calif, nell’ambito di “Patch the Planet” di OpenAI. Wiz Research ha descritto le falle con il nome PHP2Shell e le ha trovate con l’aiuto di Gemini 4 Argon e GPT-5.6 Sol.