PHP ha divulgato le correzioni per le due vulnerabilità note come PHP2Shell, che consentono l’esecuzione di codice remoto senza autenticazione. Gli amministratori devono aggiornare immediatamente le installazioni.
Le falle, contrassegnate da CVE‑2026‑109618 e CVE‑2026‑109619, sono state individuate con l’assistenza del modello GPT‑5.6 Sol all’inizio di agosto da parte dei ricercatori di Calif. Il 70% dei siti web mondiali utilizza PHP, inclusi CMS come WordPress, Drupal e Joomla, rendendo l’impatto potenzialmente disastroso.
La collaborazione tra PHP Foundation, Calif, OpenAI, Wiz e Cloudflare ha permesso l’analisi e la rapidità di rilascio delle patch. Calif ha riferito che le vulnerabilità sono state trovate con il supporto di GPT‑5.6 Sol. La PHP Foundation aveva previsto un rilascio il 22 ottobre, ma l’embargo è stato infranto da Chainguard, anticipando la distribuzione.
Le correzioni sono state incluse nelle versioni PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Le versioni precedenti alla 8.1 non ricevono più aggiornamenti. Per mitigare la situazione, sono stati forniti backport minimi per PHP 7.4, 8.0 e 8.1.
Considerata la diffusione di PHP, è probabile che alcuni siti non aggiornino tempestivamente. Come riportato da Reuters, governi, ospedali e scuole in Europa hanno seguito i consigli del CERT‑EU e hanno temporaneamente sospeso i loro portali web per evitare attacchi.
