Il CSIRT nazionale italiano ha segnalato che 285.149 servizi PHP nel Paese sono potenzialmente vulnerabili a PHP2Shell. Il dato, aggiornato al 25 ottobre, riguarda l'81,9% dei 348.130 servizi con versione identificabile, non tutti i 741.523 rilevati; sul totale, i vulnerabili accertati sono il 38,5%.
Le due falle CVE-2026-109618 e CVE-2026-109619 consentono l'esecuzione di codice da remoto senza autenticazione. Combinate con Fragnesia, una vulnerabilità locale del kernel Linux, possono portare fino ai privilegi di root. Le patch sono disponibili dal 21 ottobre, ma per PHP 8.1 e versioni precedenti il vendor non rilascerà correzioni.
Commenti
Accedi con Telegram per commentare.
Commenti e responsabilità. Questo spazio è per discutere, non per convincere: le opinioni sono di chi le scrive, e qui si può contestare anche quello che abbiamo scritto. Passiamo a leggere tutti i commenti prima di pubblicarli, quindi il tuo può metterci un po' a comparire — è il tempo che ci serve per tenere la conversazione civile. Diamo per scontato un atteggiamento corretto; se qualcosa sfugge, lo togliamo. Quanto sopra vale come esclusione di responsabilità per i contenuti degli utenti ai sensi della normativa applicabile.