L’abbiamo ormai letto un po’ ovunque su Internet: sono state scoperte due importanti vulnerabilità PHP che impattano potenzialmente sul 70% dell’Internet che conosciamo. Bene, ma cosa sta succedendo realmente.

L’exploit completo richiede l’invio di richieste HTTP multipart/form-data appositamente costruite per consumare completamente la memoria assegnata a PHP, provocare il bailout del runtime e successivamente riutilizzare la memoria liberata tramite una seconda richiesta.

In tutto questo va ricordato che non sono stati confermati casi reali di compromissione RCE in ambiente operativo.

Inoltre gli IoC osservati sono associtati esclusivamente a scansioni, attività di ricognizione, tentativi di verifica della vulnerabilità e payload DoS che causano il crash dei worker PHP.

Dall’analisi di oltre 220 repository Github che dichiarano di implementare exploit PHP2Shell è emerso chiaramente che:

• la maggior parte dei PoC pubblici non riesce a ottenere RCE;
• diversi funzionano esclusivamente in laboratori con configurazioni molto particolari.

L’unico PoC RCE realmente funzionante per CVE-2026-109618, finora analizzato è anch’esso fortemente limitato:

• testato esclusivamente su PHP 8.4.26;
• Debian 12;
• Apache prefork con un solo worker;
• richiede memory_limit=8M;
• richiede display_errors=On;
• fallisce nelle configurazioni predefinite più comuni.

Detto questo, non vanno sminuite le vulnerabilità e restano potenzialmente critiche proprio per l’estrema diffusione di PHP, ma a oggi non risultano compromissioni RCE confermate in ambiente reale. Gli attacchi osservati consistono prevalentemente in scansioni. Patchare resta un obbligo.