I siti PHP stanno venendo hackerati: ecco come tutelarsi

Partiamo dal nome, perché aiuta a capire la portata del problema. PHP2Shell non è il bug di un plugin o di un tema: è un difetto nel motore di PHP, cioè nel programma che sul server interpreta ed esegue il codice dei siti. Quando il difetto sta lì, non importa quanto sia scritto bene il sito che ci gira sopra: è esposto comunque. E PHP fa girare circa il 69% dei siti web del mondo, WordPress compreso.

Tecnicamente si tratta di due vulnerabilità distinte, CVE-2026-109618 e CVE-2026-109619. La prima sfrutta un esaurimento di memoria: se il server finisce la memoria nel momento sbagliato, le strutture interne di una richiesta restano inizializzate solo a metà, ma la pulizia di fine richiesta le tratta come complete e finisce per scrivere dove non dovrebbe. La seconda riguarda lo stato globale: dati di una richiesta sopravvivono alla memoria che li ospitava e la richiesta successiva sullo stesso processo li ritrova e li usa. In entrambi i casi un attaccante che manda richieste costruite ad arte arriva a eseguire codice sul server, senza password, senza account, senza passare da nessun modulo.

Il bug era lì da anni, dalla versione 5.4 fino alla 8.5. Un indizio era già emerso nel 2024, ma senza un exploit noto nessuno l'aveva considerato urgente. L'hanno trovato ad agosto 2026 due gruppi indipendenti, i ricercatori di Wiz e il progetto Patch the Planet di OpenAI, entrambi usando modelli di intelligenza artificiale per leggere il codice sorgente a caccia di errori. È un dettaglio che ci ha colpito: la stessa tecnologia che trova le falle è quella che poi le sfrutta.

Le patch sono uscite il 21 ottobre: PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Chi è su 8.1 o versioni precedenti, ormai fuori supporto, non ha una release da installare e deve migrare. Non ci sono mitigazioni parziali che tengano: lo dicono i manutentori di PHP e lo confermiamo noi, che abbiamo seguito la vicenda dalle prime segnalazioni. Amazon ha intercettato un tentativo di sfruttamento già il 17 ottobre, quattro giorni prima che la falla fosse pubblica, e diversi governi europei hanno preferito spegnere i siti piuttosto che rischiare.

La seconda notizia ci ha fatto riflettere ancora di più. Reuters ha raccontato un'indagine della società di sicurezza NorForge: un gruppo di lingua cinese ha messo al lavoro agenti di intelligenza artificiale contro oltre 1.200 siti tra Stati Uniti, Canada, Australia e Giappone, e ne ha violati più di cento. Non c'era nessuno a digitare comandi: l'agente esplorava il sito, provava le strade possibili e proseguiva da solo, in media per 23 ore su ogni bersaglio.

Gli strumenti non erano niente di esotico: DeepSeek, GLM, Grok e Claude Code. Quest'ultimo è un programma, non un modello, e nelle configurazioni trovate era spesso collegato a modelli diversi da quelli di Anthropic. In una delle intrusioni documentate la porta d'ingresso è stata ancora PHP, ma in un altro punto: la deserializzazione non sicura di oggetti e componenti vecchi del framework Zend. Codice legittimo, scritto anni fa, mai aggiornato e rimasto in ascolto su internet.

Messe insieme, le due storie dicono una cosa sola. Il tempo tra la scoperta di una falla e il suo sfruttamento si misura ormai in giorni, e dall'altra parte non c'è più una persona che sceglie il bersaglio ma un software che prova tutto, ovunque, finché qualcosa cede.