PHP2Shell: sospetta campagna nordcoreana e prodotti OT colpiti

📌 Sviluppi successivi: PHP2Shell su PAN-OS: correzioni per cinque rami e Panorama (29 ottobre 2026) · PHP2Shell e Fragnesia: root sui firewall PAN-OS in 15 minuti (28 ottobre 2026)

Il 26 ottobre 2026 la CISA ha aggiunto le vulnerabilità PHP2Shell CVE-2026-109618 e CVE-2026-109619 al catalogo KEV, dopo le prime shell ottenute su honeypot con PHP 8.4.26 e Apache mod_php (SecurityWeek, BleepingComputer). Nei nostri articoli del 20 e del 23 ottobre trovi l’annuncio, le versioni corrette e la terza RCE CVE-2026-115560. Di seguito le novità: una campagna mirata attribuita con cautela alla Corea del Nord, i prodotti industriali colpiti, le differenze tra le due CVE e cosa cercare nei log.

Due CVE, due meccanismi

Le descrizioni ora complete del NVD chiariscono che i difetti sono diversi:

• CVE-2026-109618: PHP usa longjmp() per uscire quando la memoria si esaurisce (OOM); alcuni contesti lasciano memoria della richiesta non inizializzata, che la pulizia successiva legge. Provocando l’OOM si arriva all’esecuzione di codice.
• CVE-2026-109619: uno stato globale che punta alla memoria della richiesta non viene azzerato, e le richieste successive leggono memoria già liberata.

PHP assegna a entrambe un CVSS 4.0 di 9.2; il NVD, in CVSS 3.1, dà 9.8 a CVE-2026-109618 e 8.1 a CVE-2026-109619 (complessità alta). Secondo i CPE del NVD, CVE-2026-109619 riguarda PHP dalla 5.4.0, CVE-2026-109618 dalla 7.3.0. Versioni corrette: 8.2.35, 8.3.36, 8.4.27 e 8.5.12.

Secondo Security Affairs, che cita Cyfirma, il caso peggiore confermato per CVE-2026-109618 è Apache mod_php con prefork e impostazioni predefinite; per CVE-2026-109619 è validato PHP-FPM tramite l’upload progress delle sessioni. Quindi session.upload_progress.enabled=0 protegge solo da CVE-2026-109619.

Attivare il difetto è facile, ottenere codice in modo affidabile no: la richiesta successiva deve arrivare allo stesso worker con la memoria preparata. Secondo Security Affairs, VulnCheck esegue codice su x86-64 con ASLR attivo contro PHP da 8.4.10 a 8.4.26, mentre su ARM64 ottiene solo fughe di memoria; valutazioni di pochi giorni prima dicevano il contrario. The Register riporta che un pentester ha vinto una sfida pubblica ottenendo RCE in circa tre ore con al massimo 20 richieste, ma con un exploit costruito per quel bersaglio.

La campagna segnalata da Cyfirma

La riporta solo Security Affairs, citando il rapporto di Cyfirma:

• due operatori attivi da marzo 2026 si coordinano in un canale I2P chiuso, osservato dal 22 ottobre;
• il 24 ottobre hanno indicato 216 host non aggiornati o protetti in parte, controllati da 21 nodi di scansione (macchine compromesse), che hanno anche usato strumenti per web shell e tentato l’avvelenamento delle sessioni tramite upload progress;
• la scansione è lenta di proposito, con nodi a rotazione scartati appena incontrano filtri: gli allarmi basati sul volume restano muti;
• gli operatori non scrivono exploit nuovi: un modello di IA locale classifica quelli pubblici, poi li provano in laboratorio;
• hanno scartato gli host che mostravano una versione corretta.

Cyfirma attribuisce la campagna con fiducia moderata alla famiglia Lazarus, per lingua, modo di operare e uso di web shell PHP, ma senza malware o infrastrutture in comune, e ammette che un gruppo criminale di lingua coreana sarebbe compatibile con gli stessi fatti. Bersagli: prima enti governativi e banche, poi logistica, porti, aeroporti, manifattura e piattaforme di transazione; tra le aree c’è l’Unione europea. Non ci sono vittime note.

Il rapporto contiene regole Sigma, Splunk e YARA (queste non ancora provate su codice reale) e gli indirizzi dei nodi; alcuni sono macchine di possibili vittime, quindi un contatto con loro non identifica l’attaccante.

Tecniche MITRE ATT&CK: T1595 (Active Scanning), T1190 (Exploit Public-Facing Application), T1505.003 (Web Shell).

Prodotti industriali e di rete colpiti

Secondo SecurityWeek:

• Schneider Electric: EcoStruxure Security Expert (corretto nella 1.48.4.0), ProLeiT LINEoptimize, EcoStruxure Control Engineering (per ora solo mitigazioni);
• Siemens: RUGGEDCOM APE1808 con PAN-OS 10.2, 11.1, 11.2, 12.1 e 12.2 (anche il NVD elenca PAN-OS e APE1808);
• ABB: MES con DokuWiki; B&R: APROL fino a R 4.4-65;
• Johnson Controls: Illustra e Visonic PowerManage, corretti;
• Belden: NetModule NRSW senza patch (disattivare l’interfaccia web) e macmon 6.x e 7.x;
• HMS Networks (Netbiter) e Wibu-Systems (CodeMeter License Central): aggiornamenti disponibili.

Rockwell Automation e Moxa non hanno prodotti colpiti confermati; Hitachi Energy sta verificando.

Impatto per le aziende europee e italiane

L’UE è tra le aree citate e logistica, trasporti, manifattura e banche sono settori NIS2. Il punto delicato è il PHP dentro apparati e software di terzi: MES, controllo accessi, videosorveglianza, router industriali. Non compare negli inventari dei pacchetti e si aggiorna solo con il firmware del produttore. Per i soggetti NIS2 è gestione dei fornitori: chiedi e documenta la loro risposta. Nella sanità vale anche per controllo accessi e videosorveglianza degli ospedali. Un incidente significativo va valutato ai fini della notifica al CSIRT Italia.

Cosa fare subito

1. Aggiorna e riavvia tutti i worker: un reload che lascia vivi quelli vecchi mantiene lo stato difettoso. Per 8.1, 8.0 e 7.4 ci sono solo backport minimi; cPanel, CloudLinux, TuxCare e Plesk hanno build proprie. Dalla 5.4 alla 7.3: migra o isola.
2. Non contare su una sola mitigazione: l’upload progress disattivato copre solo CVE-2026-109619. Se non puoi aggiornare in poche ore, isola i sistemi esposti, a partire da mod_php.
3. Controlla gli apparati OT e di rete con gli avvisi dei produttori.
4. Se sospetti una compromissione, acquisisci memoria e log prima di aggiornare (il riavvio cancella lo stato di CVE-2026-109619), ricostruisci da un’immagine affidabile, cambia i segreti raggiungibili dal worker e cerca fino al 17 ottobre.
5. Cosa cercare: processi PHP o del server web che avviano programmi insoliti, POST multipart verso pagine che non ricevono file, crash dei worker ed errori di memoria, nuovi file PHP nelle cartelle web, nuovi cron, utenti o chiavi SSH. I log applicativi di solito tacciono: il difetto scatta prima del codice dell’applicazione.
6. Non eseguire PoC trovati online: alcuni contengono malware.

Come aiuta ARXDOME

ARX Shield mostra le vulnerabilità aperte per macchina, con in evidenza quelle già sfruttate. ARX Sentry elenca software e processi dei server con l’agent, segnala le esecuzioni sospette e controlla l’integrità dei file nelle cartelle stabilite, come quelle web. ARX Expose indica i servizi pubblici e i prodotti riconosciuti; ARX Radar riconosce anche le scansioni lente e le sorgenti che colpiscono più aziende.

Ultimo aggiornamento: 27 ottobre 2026