PHP: terza RCE CVE-2026-115560 senza patch, attacchi a PHP2Shell

Il 23 ottobre 2026, due giorni dopo le patch di emergenza per PHP2Shell, il team di sicurezza di PHP ha pubblicato un avviso informativo su una terza vulnerabilità di esecuzione di codice da remoto, CVE-2026-115560. Non esiste ancora una versione corretta: arriverà con la prossima release ordinaria. Nel frattempo c’è una mitigazione di configurazione, la stessa già consigliata il 21 ottobre per una delle due falle di PHP2Shell.

Il nostro articolo del 20 ottobre riportava l’annuncio delle due vulnerabilità critiche CVE-2026-109618 e CVE-2026-109619. Di seguito le novità: la terza CVE, le versioni corrette uscite il 21 ottobre e lo stato degli attacchi.

CVE-2026-115560: le condizioni

Secondo l’avviso di PHP, ripreso da BleepingComputer, The Register e Security Affairs, e secondo l’avviso del KrCERT/CC coreano, la falla nasce nella gestione delle sessioni ed è sfruttabile solo se si verificano tutte queste condizioni:

1. nella configurazione session.serialize_handler è impostato a php_binary o php_serialize;
2. l’applicazione lo riporta a php durante l’esecuzione con ini_set(), prima di chiamare session_start();
3. session.upload_progress.enabled è attivo, come avviene di default.

Il progetto PHP considera questa combinazione improbabile nell’uso reale e per questo la tratta nel ciclo ordinario, con un avviso completo alla prossima release. Le applicazioni che non cambiano il serialize handler durante l’esecuzione non sono esposte attraverso questo percorso, anche con l’upload progress attivo.

Ad oggi, secondo Security Affairs, PHP non ha indicato le versioni colpite, la data della correzione né un punteggio di gravità, e non ha spiegato se la falla abbia una causa comune con CVE-2026-109619. Le release del 21 ottobre non la correggono. Nessuna delle fonti riporta attacchi contro questa CVE.

PHP2Shell: patch, tentativi di sfruttamento e versioni fuori supporto

Le due falle annunciate il 20 ottobre, ora note come PHP2Shell, sono difetti di sicurezza della memoria nel motore di PHP (The Register), con punteggio CVSS v4.0 di 9.2 ed esecuzione di codice senza autenticazione. Secondo Security Affairs il codice difettoso risale a PHP 5.4, del 2012. Le correzioni sono uscite il 21 ottobre con PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35.

Sullo sfruttamento le fonti concordano su un punto: al 23 ottobre nessuna compromissione riuscita è stata confermata pubblicamente. I tentativi però sono numerosi:

• Amazon ha osservato i primi tentativi il 17 ottobre, prima delle patch, con payload e infrastrutture diverse che fanno pensare a più attori (SecurityWeek, BleepingComputer, The Record);
• Cloudflare, secondo Security Affairs, ha contato decine di migliaia di tentativi nei 45 minuti successivi alla divulgazione e milioni entro il 22 ottobre;
• Sophos, Arctic Wolf, Hunt.io e Cobalt collegano parte dei tentativi a botnet di tipo Mirai (Potassium), che cercano di installare malware per attacchi DDoS; Sophos ha ritirato una prima segnalazione di sfruttamento riuscito.

Le fonti divergono sulla fattibilità. Secondo Sansec, citata da SecurityWeek, gli exploit pubblici falliscono contro le installazioni con impostazioni predefinite; Mandiant, citata da The Register, dice invece di aver validato alcuni PoC capaci di RCE contro installazioni di default con mod_php, ma non con PHP-FPM. VulnCheck afferma di avere un exploit per CVE-2026-109618 che aggira l’ASLR su x86-64 con la visualizzazione degli errori disattivata, cioè la configurazione consigliata in produzione; è riservato ai suoi clienti. SOCRadar ha trovato su un server dell’attaccante una catena di exploit per PHP 8.4.26 su Apache mod_php, provata su una ventina di siti senza successo.

La tecnica MITRE ATT&CK è T1190 (sfruttamento di applicazioni esposte su Internet). Le fonti non riportano indicatori di compromissione pubblici.

Gli aggiornamenti procedono lentamente. Secondo i dati di Censys riportati da The Record, il 22 ottobre oltre 41 milioni di servizi PHP esposti su Internet avevano versioni colpite e circa 1 milione una versione corretta. Qualys, su dati anonimi dei suoi clienti, stima che il 71% delle istanze usi i rami da 5.4 a 8.1, fuori supporto, che in gran parte non riceveranno patch dal progetto.

Impatto in Europa e in Italia

Secondo SecurityWeek, il 21 ottobre diversi siti di enti pubblici, scuole e ospedali europei sono stati spenti per precauzione durante gli aggiornamenti, e nel Regno Unito 32 servizi governativi sono rimasti non disponibili. Anche il DNSC rumeno ha diffuso un’allerta sulle due vulnerabilità.

Per i soggetti NIS2 vale quanto scritto il 20 ottobre: documentare inventario, priorità e tempi di aggiornamento, e valutare la notifica al CSIRT Italia in caso di incidente significativo. Nella sanità i portali per i pazienti basati su PHP vanno verificati per primi, compresi quelli gestiti da fornitori esterni.

Cosa fare subito

1. Aggiorna a 8.5.12, 8.4.27, 8.3.36 o 8.2.35, oppure alle versioni corrette della tua distribuzione o del tuo hosting, e verifica la versione usata davvero dal server web (PHP-FPM o modulo), non solo quella di php -v.
2. Imposta session.upload_progress.enabled=0 in php.ini e nei pool di PHP-FPM, poi riavvia tutti i worker PHP, come indica il KrCERT/CC. Se l’avevi già applicata per CVE-2026-109619, mantienila: secondo PHP non serve altro.
3. Controlla il codice: cerca chiamate a ini_set() su session.serialize_handler nelle applicazioni e nei componenti di terzi.
4. Versioni fuori supporto: chiedi al fornitore della distribuzione o dell’hosting se ha correzioni; altrimenti pianifica la migrazione e intanto limita l’esposizione pubblica.
5. Priorità a mod_php: le installazioni con Apache mod_php sono quelle su cui si concentrano i PoC validati da Mandiant e la catena trovata da SOCRadar.
6. Sorveglia i log dei server web per richieste anomale e gli host PHP per processi o connessioni in uscita inattesi.

Come aiuta ARXDOME

ARX Shield mostra per ogni macchina i pacchetti con vulnerabilità aperte, con in evidenza quelle già sfruttate; l’inventario di ARX Sentry elenca software e processi dei server con l’agent, utile per trovare PHP e PHP-FPM. ARX Expose indica quali servizi pubblici della tua azienda espongono prodotti riconosciuti, così puoi partire da quelli raggiungibili da Internet.

Ultimo aggiornamento: 24 ottobre 2026