La Cybersecurity and Infrastructure Security Agency (CISA) statunitense ha aggiunto due vulnerabilità PHP2Shell al proprio catalogo delle Known Exploited Vulnerabilities il 26 ottobre 2026, confermando lo sfruttamento di falle che possono permettere agli attaccanti di eseguire codice senza autenticazione sulle installazioni PHP interessate.
L'avviso di CISA identifica CVE-2026-109618 e CVE-2026-109619. Entrambe hanno punteggi CVSS v4.0 pari a 9,2. Secondo Siemens, le falle sono state divulgate il 21 ottobre; l'inserimento nel catalogo, però, non stabilisce quando lo sfruttamento sia iniziato.
The Hacker News riporta che PHP ha rilasciato le correzioni il 21 ottobre nelle versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35, e che le agenzie federali hanno tempo fino al 29 ottobre per applicarle. CISA afferma che la sua direttiva vincolante sulla gestione delle vulnerabilità si applica alle agenzie del Federal Civilian Executive Branch, esortando al tempo stesso le altre organizzazioni a dare priorità alle vulnerabilità censite nel catalogo.
Cosa mostrano le prove di sfruttamento
Le vulnerabilità riguardano il modo in cui PHP gestisce la memoria usata per le richieste web. Secondo l'avviso tecnico di Arista, CVE-2026-109618 può lasciare non inizializzata la memoria della richiesta dopo un errore di esaurimento della memoria, consentendo alla procedura di pulizia della richiesta di leggerla o di agire su di essa. CVE-2026-109619 riguarda uno stato interno che può continuare a puntare alla memoria della richiesta anche dopo che questa è stata liberata. Entrambe le condizioni possono portare all'esecuzione remota di codice.
The Hacker News ha citato Adel Karimi, responsabile del rilevamento e della risposta presso Perplexity, che ha confermato l'esecuzione di codice riuscita contro sistemi honeypot il 24 ottobre. Karimi ha segnalato un dump di cookie decodificato da 800 KiB e ha dichiarato che un indirizzo di funzione ricavato da esso, usando gli offset dell'exploit pubblico, compariva in un payload di esecuzione successivo.
Questo risultato ha un limite preciso: Karimi ha spiegato che la catena dimostrata utilizzava una configurazione mod_php a worker singolo, intenzionalmente favorevole. Il dato non misura l'affidabilità dell'exploit con altri numeri di worker, altre build di PHP o altre applicazioni. La divulgazione di memoria ed esecuzione osservate stabiliscono quindi cosa è accaduto su quegli honeypot, senza dimostrare lo stesso esito per ogni implementazione interessata.
Lo stato specifico dei prodotti cambia l'azione richiesta
L'avviso di Arista, aggiornato il 26 ottobre, afferma che nessun prodotto software o piattaforma Arista risulta ancora interessato. CloudVision CUE, il servizio cloud, e Arista Edge Threat Management erano interessati, ma hanno già ricevuto versioni PHP corrette. Arista afferma che i servizi cloud interessati sono stati risolti e che i clienti non devono intraprendere alcuna azione. Inoltre dichiara di non essere a conoscenza di sfruttamenti malevoli nelle reti dei clienti.
Siemens indica invece un perimetro diverso nell'avviso SSA-566512: tutte le versioni di RUGGEDCOM APE1808 che eseguono Palo Alto Networks PAN-OS nelle linee di rilascio 10.2, 11.1, 11.2, 12.1 e 12.2. Secondo Siemens, i clienti devono contattare il supporto per informazioni su patch e aggiornamenti e applicare le mitigazioni indicate nelle notifiche di sicurezza upstream di Palo Alto Networks.
Questa esposizione non riguarda tutti i prodotti Siemens. Nel suo avviso software separato, aggiornato il 26 ottobre, Siemens elenca come non interessati prodotti tra cui Teamcenter, Solid Edge, Capital e i prodotti Opcenter specificati, perché non utilizzano PHP.
Correzioni Brotli separate per le build Windows di PHP
The Hacker News riferisce anche che la PHP Foundation ha rilasciato entro il 26 ottobre le build Windows 8.5.12-1, 8.4.27-1, 8.3.36-1 e 8.2.35-1 per correggere una scrittura fuori limite nel decoder Brotli, identificata come CVE-2026-111497. Queste build correggono una vulnerabilità aggiuntiva, oltre alle due falle PHP2Shell sfruttate.
Secondo la dichiarazione della PHP Foundation citata nel rapporto, il decoder vulnerabile è raggiungibile tramite l'estensione cURL di PHP quando è abilitata la decompressione automatica delle risposte HTTP. Per impostazione predefinita questa opzione è disattivata in cURL, ma applicazioni e librerie client HTTP possono abilitarla.
L'avviso Microsoft per CVE-2026-111497 descrive l'impatto su .NET come elevazione di privilegi attraverso la rete e lo classificava come non sfruttato al momento della pubblicazione originale. Anche in .NET e ASP.NET Core la decompressione Brotli è disattivata per impostazione predefinita: le applicazioni devono attivare esplicitamente la decompressione di richieste o risposte, oppure invocare direttamente le API di decompressione Brotli. La conferma di sfruttamento da parte di CISA riguarda le due vulnerabilità PHP2Shell, non questa falla Brotli separata.
