Attacchi mirati sfruttano vulnerabilità PHP prima della patch
Amazon e Cloudflare riportano tentativi di exploit delle falle 'php2shell' giorni prima della loro divulgazione e correzione.
Amazon Threat Intelligence ha rilevato che tentativi di sfruttare le falle critiche PHP2Shell sono iniziati quattro giorni prima della divulgazione pubblica delle vulnerabilità (CVE-2026-109618 e CVE-2026-109619). Questi attacchi, provenienti da network anonimi, suggeriscono che informazioni riservate sulle falle fossero state acquisite in anticipo da alcuni threat actor.
Il rilascio della patch ha segnato un'escalation: secondo Cloudflare, nel giro di poche ore dal disclosure, gli attacchi sono passati da migliaia a centinaia di migliaia, fino a milioni. Diversi attori della minaccia hanno sviluppato rapidamente payload e tecniche per aggirare i web application firewall, mostrando capacità di adattamento continuo.
Nonostante la rapidità dei tentativi, il successo nell’exploitation sembra ancora limitato grazie a tecnologie come ASLR (Address Space Layout Randomization), che rende più complicato l’esecuzione di codice arbitrario in remoto. Tuttavia, molti server PHP rimangono vulnerabili perché non ancora aggiornati.
La PHP Foundation ha raccomandato agli amministratori di applicare urgentemente la patch e riavviare i processi PHP per ridurre il rischio di compromissione, sottolineando il potenziale danno di vulnerabilità che permettono la completa presa di controllo di un sito web.
