PHP corregge due vulnerabilità critiche di esecuzione remota di codice individuate con modelli di IA all’avanguardia

Il progetto PHP ha rilasciato PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35 il 21 ottobre 2026. Questi aggiornamenti di sicurezza correggono due vulnerabilità critiche che possono consentire l’esecuzione remota di codice senza autenticazione e che sono state individuate con modelli di IA all’avanguardia. La divulgazione coordinata ha coinvolto il progetto PHP, OpenAI, la società di ricerca sulla sicurezza Calif e la società di sicurezza cloud Wiz.

Le versioni aggiornate

L’avviso di sicurezza del progetto PHP afferma che le quattro versioni correggono CVE-2026-109618, descritta come esecuzione remota di codice tramite corruzione causata da esaurimento della memoria, e CVE-2026-109619, descritta come esecuzione remota di codice tramite stato globale obsoleto. In un avviso preliminare del 20 ottobre 2026, il team di sicurezza PHP ha assegnato a entrambe le vulnerabilità un punteggio CVSS v4.0 di 9.2 e ha fissato il rilascio alle 14:00 UTC del 21 ottobre.

Secondo l’avviso, sono a rischio tutte le installazioni di PHP che gestiscono richieste web, comprese PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed. Il rischio è considerato più elevato con mod_php, dove un exploit dimostrato può essere attivato da una richiesta senza autenticazione prima che venga eseguito qualsiasi codice dell’applicazione.

Il progetto afferma che non esistono misure di mitigazione complete e che aggiornare è l’unica scelta sicura, anche se elenca impostazioni temporanee che riducono l’esposizione a specifici vettori di attacco. Le distribuzioni Linux e i fornitori di versioni LTS hanno ricevuto le patch in anticipo. Il team di sicurezza PHP ha inoltre fornito backport minimi del codice sorgente per PHP 7.4, 8.0 e 8.1, che non ricevono più aggiornamenti, e ha segnalato che PHP 8.2 raggiungerà la fine del ciclo di vita il 31 dicembre 2026.

Le vulnerabilità e l’exploit Php2shell

La descrizione tecnica di Wiz Research spiega che CVE-2026-109618 comprende una vulnerabilità use-after-free nel deserializzatore dell’avanzamento dei caricamenti e la divulgazione remota della memoria di un processo, mentre CVE-2026-109619 comprende una vulnerabilità use-after-free nella traccia di backtrace degli errori fatali e una confusione di tipo in OPcache. Si tratta in tutti i casi di problemi di sicurezza della memoria, dovuti al modo in cui PHP gestisce gli errori fatali, in particolare quelli causati dall’esaurimento della memoria, durante l’elaborazione delle richieste.

Wiz ha dichiarato che tutte le versioni di PHP rilasciate nell’ultimo decennio sono interessate da almeno una delle vulnerabilità, a partire dalla versione 5.4. Calif ha riferito che il percorso vulnerabile più risalente individuato risale a PHP 5.4.0 e che i percorsi di sfruttamento, che dipendono dalla versione di PHP e dalla SAPI, sono sempre sfruttabili con le configurazioni predefinite.

Wiz ha riunito le vulnerabilità in un unico script di exploit chiamato php2shell e ha dimostrato l’esecuzione remota di codice senza autenticazione sulle immagini container più recenti di WordPress, Drupal e Joomla. Separatamente, ha dimostrato che è possibile divulgare la memoria dei processi worker di PHP, indipendentemente dall’applicazione; tale memoria può contenere password, token di autenticazione, chiavi API e certificati. La documentazione di Calif riferisce di aver confermato l’esecuzione remota di codice prima dell’autenticazione su WordPress 7.1.2, Drupal 11.4.3, Joomla 6.1.4, MediaWiki 1.46.2, Roundcube 1.7.4, Magento 2.4.9, phpMyAdmin 5.2.3, Nextcloud 35.0.1, Laravel 13.11, Symfony 8.1 e WHMCS, nonché su script PHP arbitrari in alcuni casi.

Wiz descrive PHP come la tecnologia alla base del 70% di tutti i siti web, tra cui quelli che utilizzano WordPress, Joomla, Drupal e MediaWiki di Wikipedia, e colloca queste vulnerabilità tra le più gravi mai individuate in PHP.

Come i modelli di IA all’avanguardia hanno individuato le vulnerabilità

OpenAI ha dichiarato che negli ultimi 2 mesi ha guidato una coalizione di manutentori, ricercatori e fornitori di servizi di sicurezza per risolvere le vulnerabilità. Nell’ambito dell’iniziativa Patch the Planet di OpenAI, Calif ha individuato una vulnerabilità critica usando il modello GPT-5.6 Sol, mentre Wiz ha scoperto e segnalato entrambe le vulnerabilità in modo indipendente. I manutentori di PHP hanno guidato le correzioni e il rilascio.

Le cronologie fornite dai partecipanti mostrano scoperte indipendenti avvenute in periodi sovrapposti. La PHP Foundation riporta che Calif ha iniziato la propria verifica il 30 luglio 2026 e che il ricercatore di Calif Ryan A ha segnalato un’esecuzione remota di codice senza condizioni l’11 agosto 2026; lo stesso giorno OpenAI ha segnalato in modo indipendente la medesima causa sottostante. Secondo il resoconto di Calif, la scoperta risale al 1° agosto 2026; una prova di concetto di esecuzione remota di codice è stata condivisa con PHP il 14 agosto 2026, PHP ha confermato la vulnerabilità il 15 agosto 2026 e il 21 agosto 2026 è stato segnalato un secondo bug.

Wiz riferisce di aver scoperto la prima vulnerabilità il 19 agosto 2026 usando Wiz Atlas, Gemini 4 Argon e GPT-5.6 Sol, di aver confermato l’esecuzione di codice senza autenticazione su Drupal il 20 agosto 2026 e su WordPress il 21 agosto, e di aver segnalato le vulnerabilità al team di sicurezza PHP il 24 agosto 2026. Secondo la PHP Foundation, OpenAI ha aggiunto ulteriori vettori di attacco il 18 settembre 2026; secondo Wiz, PHP ha preso atto delle segnalazioni e ha iniziato a sviluppare una correzione coordinata il 21 settembre 2026.

La debolezza alla base del problema ha una lunga storia. Calif racconta che Stefan Esser individuò nel 2004 la prima vulnerabilità remota di PHP legata al limite di memoria, che nel 2020 fu segnalato al progetto un bug relativo a una condizione di esaurimento della memoria e che una verifica condotta nel 2024 da OSTIF e Quarkslab riscoprì il problema senza dimostrarne la sfruttabilità. La PHP Foundation ha scritto che la verifica del 2024 è stata finanziata dalla Sovereign Tech Agency e che il lavoro alla correzione si è bloccato e ripreso più volte nell’arco di diversi mesi: «Non vogliamo fingere che sia altrimenti: il ritardo è stato un fallimento strutturale.»

OpenAI ha dichiarato che, considerata la gravità delle falle e l’ampia diffusione di PHP, ritiene che si tratti di uno dei problemi di sicurezza più rilevanti degli ultimi tempi. Ha inoltre affermato che, per quanto ne sa, i modelli di IA più avanzati hanno individuato le vulnerabilità prima degli aggressori, aprendo quella che definisce una «finestra di vantaggio per i difensori». L’azienda si è impegnata a fornire 1 miliardo di dollari in accessi sovvenzionati a Daybreak per chi è in prima linea nella difesa e ha pubblicato un verificatore di versione di PHP sotto forma di skill di Codex nel repository GitHub openai/php2shell-checker.

Una divulgazione trapelata e un embargo violato

La PHP Foundation riferisce che la divulgazione coordinata è stata mantenuta riservata fino a due giorni prima della data prevista per il rilascio. Intorno alle 15:00 UTC del 20 ottobre 2026, i due identificativi CVE hanno iniziato a circolare sui forum online e sui social media, accompagnati da un orario di rilascio errato e da un punteggio CVSS errato di 10.0, anche se non sono trapelati dettagli tecnici. Il progetto PHP ha anticipato l’annuncio preliminare alle 19:30 UTC dello stesso giorno e spostato il rilascio dal 22 ottobre 2026 al 21 ottobre 2026 alle 14:00 UTC, spiegando che i distributori stavano ancora preparando il pacchetto della correzione.

Intorno alle 20:00 UTC del 20 ottobre, Calif ha pubblicato per errore un video che mostrava la propria prova di concetto in funzione su diversi obiettivi; secondo la Foundation, le copie del video hanno iniziato a circolare e hanno contribuito ad accelerare lo sviluppo di vari exploit basati su prove di concetto il 21 ottobre. Alle 07:41 UTC del 21 ottobre, più di sei ore prima del rilascio coordinato, Chainguard ha violato unilateralmente l’embargo e pubblicato immagini già compilate contenenti la correzione, riferisce la Foundation. Il team di sicurezza di PHP ha monitorato le prove di concetto apparse dopo la fuga di notizie, ma al momento del rilascio e della divulgazione pubblica non ha individuato exploit funzionanti.

Coordinamento governativo e un quadro di riferimento proposto

OpenAI ha dichiarato di aver collaborato con i partner per coinvolgere diverse componenti del governo degli Stati Uniti, tra cui la Super Intelligence Force della Casa Bianca, l’Office of the National Cyber Director e la Cybersecurity and Infrastructure Security Agency, oltre a partner internazionali, per contribuire a far arrivare le indicazioni di sicurezza alle organizzazioni di importanza critica. Wiz ha dichiarato che, prima della divulgazione pubblica, ha collaborato con Google Cloud, Cloudflare, AWS, Microsoft, Automattic, Fastly, Akamai, Imperva, Vercel e altri soggetti per preparare indicazioni per i clienti, sistemi di rilevamento e misure di mitigazione pronte all’uso destinate alle organizzazioni che non possono aggiornare immediatamente i propri sistemi.

OpenAI ha inoltre pubblicato una proposta di quadro articolato in cinque fasi per rispondere alle vulnerabilità critiche nei software ampiamente utilizzati: convalidare e correggere la vulnerabilità nel progetto originale, concedere alle organizzazioni interessate il tempo necessario per intervenire, coordinarsi con i partner governativi, preparare aggiornamenti per i prodotti interessati e pubblicare indicazioni non appena è disponibile una patch. L’azienda ha chiesto alla comunità della sicurezza di fornire un riscontro sull’approccio.

La PHP Foundation, che ha istituito un team per la sicurezza dell’ecosistema nel maggio 2026 e assunto Alexandre Daubois nel luglio 2026 e Daniel Scherzer nel settembre 2026, ha dichiarato che il team ha pubblicato 15 CVE dal 1° luglio 2026, occupandosi nel frattempo di oltre 100 segnalazioni risultate infondate, duplicate o non riproducibili. Ha chiesto alle aziende, ai provider di hosting, alle piattaforme cloud, alle distribuzioni e ai governi i cui servizi funzionano su PHP di contribuire con sponsorizzazioni.